2. ОБЩИЕ ПОЛОЖЕНИЯ
2.1. Настоящая Политика разработана в соответствии с Конституцией РФ, ФЗ-152 и иными нормативными правовыми актами в области защиты ПДн.
2.2. Действие Политики распространяется на все операции по обработке ПДн, которые Оператор осуществляет в рамках своей деятельности:
• бронирование номеров и оказание гостиничных услуг;
• обработка заявок через формы обратной связи («Перезвоните мне», «Подберите отдых»);
• оформление и исполнение договоров на проживание (в том числе офлайн при заселении);
• направление рекламных и информационных рассылок (с отдельного согласия);
• сбор статистики с использованием сервиса Яндекс.Метрика и анализ поведения на Сайте;
• использование сервиса Яндекс.Карты для отображения местоположения отеля.
2.3. Использование Сайта, заполнение любых форм (бронирование, регистрация, обратная связь) является подтверждением ознакомления и согласия, выраженного путем проставления соответствующей отметки.
2.4. Оператор не проверяет достоверность предоставляемых ПДн, исходя из того, что субъект предоставляет достоверную и достаточную информацию. Риск недостоверности несет предоставившее их лицо.
2.5. Политика не регулирует обработку ПДн сотрудников Оператора — для этого принят отдельный локальный акт. Также Политика не охватывает отношения, на которые не распространяется действие ФЗ-152 (п. 2 ст. 1 ФЗ-152).

3. ПРАВОВЫМИ ОСНОВАНИЯМИ ЯВЛЯЮТСЯ:
3.1. Заключение и исполнение договора гостиничного обслуживания (п. 5 ч. 1 ст. 6 ФЗ-152). Применяется для обработки ПДн, необходимых для бронирования, заселения, расчетов, ведения бухгалтерского и налогового учета, урегулирования споров.
3.2. Согласие субъекта ПДн на обработку (п. 1 ч. 1 ст. 6 ФЗ-152) для целей, не вытекающих непосредственно из договора, в том числе:
• для рекламных и информационных рассылок;
• для использования сервиса Яндекс.Метрика (аналитических cookie);
• для обработки обращений, не связанных с исполнением договора.

4. МЕХАНИЗМЫ ПОЛУЧЕНИЯ СОГЛАСИЯ СУБЪЕКТА ПДН Для сбора согласия Оператор использует следующие механизмы, обеспечивающие явное, информированное и осознанное согласие:
4.1. Для целей бронирования и исполнения договора:
Согласие выражается путем проставления отметки (чек-бокса) в форме бронирования или регистрации. Чек-бокс не активирован по умолчанию и сопровождается текстом:
«Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных»
(с активной гиперссылкой на полный текст Политики). Отправка формы без отметки невозможна.
4.2. Для обработки запросов и обращений (формы «Перезвоните мне», «Подобрать варианты»):
используется аналогичный не активированный чек-бокс для согласия на обработку данных, указанных в запросе.
4.3. Для получения рекламных и информационных рассылок:
используется отдельный, не активированный по умолчанию чек-бокс с текстом:
«Даю согласие на получение рекламных и информационных рассылок».
Согласие на рассылки не является обязательным для бронирования.
4.4. Для сбора аналитических данных (сервис Яндекс.Метрика):
при первом посещении Сайта отображается cookie-баннер, запрашивающий отдельное, явное согласие на использование необязательных аналитических файлов cookie. Согласие не является обязательным для использования основных функций Сайта.
4.5. В случае, если предоставление ПДн является обязательным в силу закона или необходимо для оказания услуги, а субъект отказывается их предоставить, Оператор вправе отказать в бронировании или заселении.

5. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА
5.1. Оператор имеет право:5.1.1. Получать достоверные ПДн;
5.1.2. Обрабатывать ПДн в объеме и для целей, предусмотренных Политикой;
5.1.3. В случае отзыва согласия продолжать обработку на ином законном основании (например, для исполнения договора);
5.1.4. Передавать ПДн для обработки третьим лицам, указанным в разделе «Передача ПДн третьим лицам»;
5.1.5. Самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ-152 и принятыми в соответствии с ним нормативными правовыми актами.
5.2. Оператор обязан:5.2.1. Публиковать настоящую Политику на Сайте;
5.2.2. Организовывать обработку ПДн в порядке, установленном действующим законодательством РФ;
5.2.3. Предоставлять Субъекту по его просьбе информацию, касающуюся обработки его ПДн;
5.2.4. Использовать полученную информацию исключительно для заявленных целей;
5.2.5. Отвечать на обращения и запросы Субъектов и их законных представителей в соответствии с требованиями ФЗ-152;
5.2.6. Принимать правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий;
5.2.7. Прекратить обработку и уничтожить ПДн в порядке и случаях, предусмотренных ФЗ-152;
5.2.8. Сообщать в уполномоченный орган по защите прав Субъектов по запросу этого органа необходимую информацию в течение 30 (тридцати) календарных дней с даты получения такого запроса;
5.2.9. Своевременно уведомлять Роскомнадзор в случае установления факта неправомерной или случайной передачи ПДн, повлекшей нарушение прав субъектов ПДн, в срок, не превышающий 24 часа с момента обнаружения инцидента;
5.2.10. Исполнять иные обязанности, предусмотренные ФЗ-152.

6. ОСНОВНЫЕ ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПДН
6.1. Субъект имеет право:6.1.1. На отзыв согласия на обработку ПДн;
6.1.2. Получать информацию, касающуюся обработки его ПДн, за исключением случаев, предусмотренных федеральными законами;
6.1.3. Требовать от Оператора уточнения его ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
6.1.4. Обжаловать действия Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке;
6.1.5. На осуществление иных прав, предусмотренных законодательством РФ.
6.2. Субъект обязан:6.2.1. Предоставлять Оператору достоверные данные о себе;
6.2.2. Своевременно сообщать Оператору об уточнении (обновлении, изменении) своих ПДн.
6.3. Оператор не проверяет достоверность ПДн, предоставляемых Субъектом. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом Субъекте ПДн без согласия последнего, несут ответственность в соответствии с законодательством РФ.
6.4. Субъект ПДн вправе направить Оператору запрос, касающийся обработки его ПДн, включая запрос на отзыв согласия, по электронной почте Оператора. Оператор обязан рассмотреть запрос и дать ответ в течение 10 (десяти) рабочих дней. В исключительных случаях срок может быть продлен, но не более чем на 5 (пять) рабочих дней, с уведомлением Субъекта.
6.5. Запрос должен содержать: номер основного документа, удостоверяющего личность Субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта ПДн в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Оператором; подпись Субъекта ПДн или его представителя.

7. ПРИНЦИПЫ ОБРАБОТКИ ПДН
7.1. Обработка осуществляется на законной и справедливой основе.
7.2. Обработка ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора.
7.3. Обрабатываются только ПДн, которые отвечают целям их обработки (принцип минимизации данных).
7.4. Содержание и объем обрабатываемых ПДн соответствуют заявленным целям. Не допускается избыточность.
7.5. Обеспечивается точность и актуальность ПДн. Оператор принимает меры по удалению или уточнению неполных или неточных данных.
7.6. Хранение ПДн осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом или договором.
7.7. При сборе ПДн, в том числе посредством информационно-телекоммуникационной сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн Субъектов персональных данных с использованием баз данных, находящихся на территории Российской Федерации.

8. ЦЕЛИ ОБРАБОТКИ ПДН
8.1. Оператор обрабатывает ПДн для следующих целей (детализированный перечень целей, категорий субъектов, состава ПДн, сроков хранения и порядка уничтожения приведен в Приложении № 1 к настоящей Политике):
8.1.1. Бронирование номеров и исполнение договора гостиничного обслуживания (включая офлайн-заселение)Идентификация гостя, оформление бронирования, регистрация по месту пребывания, проведение расчетов, выдача закрывающих документов, урегулирование претензий.
Правовое основание — п. 5 ч. 1 ст. 6 ФЗ-152 (договор).
8.1.2. Регистрация и ведение Личного кабинета на СайтеСоздание и поддержание учетной записи, идентификация при последующих входах, история бронирований.
Правовое основание — п. 5 ч. 1 ст. 6 ФЗ-152 (договор) / согласие.
8.1.3. Обработка запросов и обращений через формы обратной связиПредоставление ответов, консультации, помощь в подборе вариантов отдыха.
Правовое основание — согласие (п. 1 ч. 1 ст. 6 ФЗ-152).
8.1.4. Направление рекламных и информационных рассылокОсуществляется только при наличии отдельного согласия Пользователя.
Правовое основание — согласие (п. 1 ч. 1 ст. 6 ФЗ-152).
8.1.5. Анализ поведения пользователей на Сайте и улучшение его работы с помощью сервиса Яндекс.МетрикаСбор и анализ обезличенных статистических данных (при наличии согласия).
Правовое основание — согласие (через cookie-баннер).
8.2. Оператор не обрабатывает специальные категории ПДн (расовая, национальная принадлежность, политические взгляды, состояние здоровья и т.п.), биометрические ПДн, а также ПДн несовершеннолетних без согласия законных представителей.

9. СОСТАВ ОБРАБАТЫВАЕМЫХ ПДН
9.1. В зависимости от цели, Оператор может обрабатывать следующие ПДн:

• 9.1.1. Для бронирования и заселения:фамилия, имя, отчество (при наличии);
• номер телефона;
• адрес электронной почты;
• гражданство;
• дата рождения;
• данные документа, удостоверяющего личность (серия, номер, кем и когда выдан) — при офлайн-заселении;
• даты заезда и выезда;
• особые пожелания.
• 9.1.2. Для регистрации в Личном кабинете:фамилия, имя, отчество;
• номер телефона;
• адрес электронной почты;
• пароль (в зашифрованном виде).
• 9.1.3. Для обработки обращений:фамилия, имя;
• телефон;
• email;
• содержание обращения.
• 9.1.4. Для рекламных рассылок:имя;
• адрес электронной почты;
• номер телефона (в зависимости от канала).
• 9.1.5. Для аналитики (с согласия):IP-адрес;
• данные cookie;
• информация о браузере и устройстве;
• просмотренные страницы;
• действия на Сайте;
• геолокация (страна, город).

9.2. Реквизиты банковских карт не обрабатываются и не хранятся Оператором; они вводятся на стороне платежного партнера.

10. КАТЕГОРИИ СУБЪЕКТОВ ПДНК категориям субъектов ПДн, чьи ПДн обрабатываются Оператором, относятся:
10.1. Гости (потребители услуг) – физические лица, осуществляющие бронирование номеров и проживание в парк-отеле «Рассвет» (как онлайн через Сайт, так и офлайн при заселении). В отношении этих субъектов Оператор обрабатывает ПДн в целях заключения и исполнения договора гостиничного обслуживания.
10.2. Пользователи Сайта – физические лица, посещающие Сайт, просматривающие информацию, заполняющие формы обратной связи («Перезвоните мне», «Подобрать вариант»), но не осуществляющие бронирование. В отношении этих субъектов Оператор обрабатывает ПДн в целях предоставления ответов на запросы и улучшения работы Сайта.
10.3. Зарегистрированные пользователи (владельцы Личного кабинета) – физические лица, прошедшие регистрацию на Сайте (в том числе через сторонние сервисы VK ID, T-ID, Сбер ID, Alfa ID). В отношении этих субъектов Оператор обрабатывает ПДн для ведения учетной записи, ускоренного бронирования, предоставления скидок и управления историей бронирований.
10.4. Подписчики – физические лица, выразившие отдельное добровольное согласие на получение рекламных и информационных рассылок (новости, акции, специальные предложения). Обработка ПДн подписчиков осуществляется исключительно при наличии такого согласия и прекращается после его отзыва.
10.5. Посетители Сайта – физические лица, в отношении которых осуществляется сбор обезличенных статистических данных с помощью сервиса Яндекс.Метрика (при наличии отдельного согласия, выраженного через cookie-баннер). Эти данные не позволяют прямо идентифицировать личность посетителя.
10.6. Представители контрагентов – физические лица, являющиеся работниками или представителями юридических лиц и индивидуальных предпринимателей, с которыми Оператор заключает договоры (поставщики, подрядчики, партнеры). Обработка их ПДн осуществляется в целях заключения и исполнения договоров, а также ведения бухгалтерского и налогового учета (в том числе с использованием системы ЭДО СБИС).

11. СРОК ХРАНЕНИЯ И ОБРАБОТКИ ПДН
11.1. Обработка ПДн осуществляется в течение сроков, необходимых для достижения целей обработки, если иное не предусмотрено требованиями законодательства Российской Федерации.
11.2. Условиями прекращения обработки ПДн могут являться:
• достижение целей обработки ПДн;
• отзыв согласия Субъектом;
• выявление неправомерной обработки ПДн;
• прекращение деятельности Оператора;
• истечение установленных законодательством сроков хранения документов, содержащих ПДн (например, для целей налогового учета).
11.3. Конкретные сроки обработки и хранения ПДн применительно к каждой цели обработки:
• ПДн, обрабатываемые для заключения и исполнения договоров (включая данные бухгалтерского учета), хранятся в течение 5 (пяти) лет с момента окончания срока действия договора или последнего взаимодействия с клиентом. Данный срок установлен в соответствии с общим сроком исковой давности (ст. 196 ГК РФ) и требованиями налогового законодательства о хранении документов (п. 8 ч. 1 ст. 23 НК РФ).
• ПДн, обработанные на основании согласия для обработки запросов (без заключения договора), хранятся в течение 6 (шести) месяцев с момента последнего взаимодействия или до отзыва согласия.
• ПДн, обрабатываемые для целей рекламных и информационных рассылок, хранятся до момента отзыва Субъектом соответствующего согласия.
• Обезличенные ПДн, собираемые сервисом Яндекс.Метрика, хранятся и обрабатываются ООО «Яндекс» в течение 26 (двадцати шести) месяцев с момента сбора (стандартный срок хранения сервиса).
11.4. По истечении указанных сроков обработка прекращается, и ПДн подлежат уничтожению или обезличиванию, если иное не предусмотрено федеральным законом.
11.5. Электронные данные уничтожаются без возможности восстановления (гарантированное стирание с использованием специального ПО). Бумажные носители — с помощью шредера. Факт уничтожения фиксируется соответствующим актом.

12. ПЕРЕДАЧА ПДН ТРЕТЬИМ ЛИЦАМ
12.1. Оператор может предоставлять доступ к ПДн третьим лицам, которые осуществляют их обработку по поручению Оператора для достижения целей, указанных в настоящей Политике. При этом с такими лицами заключаются соответствующие соглашения о конфиденциальности и защите ПДн, обязывающие их соблюдать принципы и правила обработки, а также обеспечивать безопасность ПДн в соответствии с законодательством РФ.

12.2. Оператор передает ПДн следующим категориям третьих лиц:
12.2.1. Платежной системе — для обработки онлайн-платежей и возвратов. Передаются: идентификатор заказа, сумма, номер телефона (для СБП).
12.2.2. ООО «Комфорт Букинг» — для формирования и отправки электронных чеков. Передаются: email Пользователя, сумма, дата платежа.
12.2.3. МФК «Кредит Лайн» (PayLate) — для оформления кредита (по желанию Пользователя). Передаются: ФИО, телефон, email, сумма, данные паспорта (при отдельном согласии).
12.2.4. CRM-системе — для автоматизации учета клиентов, хранения данных бронирований. Передаются: ФИО, телефон, email, даты заезда/выезда, история бронирований.
12.2.5. СБИС (ЭДО) — для обмена юридически значимыми документами с контрагентами. Передаются: данные представителей контрагентов.
12.2.6. Яндекс.Метрике (ООО «Яндекс») — для сбора статистики (при отдельном согласии). Передаются технические и обезличенные данные.
12.2.7. Яндекс.Картам (ООО «Яндекс») — для отображения местоположения отеля. При загрузке карты могут передаваться IP-адрес, данные браузера (Яндекс выступает как самостоятельный оператор).
12.2.8. Государственным органам — в случаях, предусмотренных законодательством РФ (например, по запросу суда, правоохранительных или налоговых органов).
12.3. Передача данных осуществляется только для целей, указанных в Политике. С каждым третьим лицом заключено соглашение о конфиденциальности и (или) поручение на обработку ПДн.

13. ПЕРЕЧЕНЬ ДЕЙСТВИЙ, ПРОИЗВОДИМЫХ ОПЕРАТОРОМ С ПОЛУЧЕННЫМИ ПДН
13.1. Оператор осуществляет полный цикл обработки ПДн, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.
Указанная обработка проводится с использованием средств автоматизации, а также без использования таких средств (например, при работе с бумажными документами), исключительно в целях, предусмотренных настоящей Политикой.

14. БЛОКИРОВАНИЕ, УТОЧНЕНИЕ И УНИЧТОЖЕНИЕ ПДН ПРИ ВЫЯВЛЕНИИ НЕТОЧНОСТЕЙ ИЛИ НАРУШЕНИЙ
14.1. Выявление и обращение к Оператору
14.1.1. Субъект ПДн вправе направить запрос на уточнение своих ПДн при обнаружении неточностей. Запрос направляется на электронный адрес Оператора с пометкой «Актуализация ПДн».
14.1.2. В случае выявления неправомерной обработки ПДн, Субъект или уполномоченный орган вправе потребовать прекратить такие действия.
14.2. Блокирование ПДн
14.2.1. При поступлении обращения Субъекта или требования уполномоченного органа о неправомерности обработки, Оператор блокирует спорные ПДн с момента получения такого обращения/требования на время проведения проверки.
14.2.2. При обнаружении неточностей в ПДн, Оператор вправе заблокировать эти данные до завершения их проверки и уточнения, если это не нарушает права и законные интересы Субъекта или третьих лиц.
14.2.3. Блокирование ПДн означает временное прекращение любых операций с ними (кроме операции уточнения).
14.3. УТОЧНЕНИЕ (АКТУАЛИЗАЦИЯ) ПДН
14.3.1. Оператор обязан рассмотреть запрос на уточнение и провести проверку в течение 7 (семи) рабочих дней с момента получения от Субъекта подтверждающих документов или информации, необходимой для внесения изменений.
14.3.2. В случае подтверждения неточностей, Оператор вносит соответствующие изменения в базы данных.
14.3.3. После завершения уточнения ПДн их блокирование снимается.
14.4. ПРЕКРАЩЕНИЕ ОБРАБОТКИ ПДН
14.4.1. По отзыву согласия.
Обработка, основанная на согласии, прекращается, а ПДн уничтожаются в срок, не превышающий 30 (тридцати) календарных дней с момента получения отзыва, если иное не предусмотрено договором или федеральным законом.
14.4.2. При выявлении незаконной обработки.
Оператор незамедлительно прекращает незаконную обработку ПДн. Сопутствующее уничтожение незаконно обрабатываемых ПДн осуществляется в срок, не превышающий 10 (десяти) рабочих дней. Субъект ПДн уведомляется о результатах рассмотрения его обращения и предпринятых мерах в сроки, установленные разделом 6.4 настоящей Политики.
14.4.3. Иные требования субъекта (кроме отзыва согласия), подлежат рассмотрению в сроки, предусмотренные разделом 6.4 настоящей Политики.
14.5. УНИЧТОЖЕНИЕ ПДН ПО ИСТЕЧЕНИИ СРОКА ХРАНЕНИЯ
14.5.1. Документы с истекшим сроком хранения уничтожаются по решению экспертной комиссии Оператора. Составляются протокол, акт и опись уничтожаемых дел. Акт утверждается руководителем Оператора.
14.5.2. Уничтожение электронных данных производится методами, исключающими восстановление (гарантированное стирание с использованием специального программного обеспечения, низкоуровневое форматирование). Если уничтожение невозможно, данные блокируются на 6 месяцев.
14.6. ОБРАБОТКА ДАННЫХ В ПУБЛИЧНЫХ ИНТЕРЕСАХ
14.6. Запреты на обработку ПДн не действуют, если обработка требуется для государственных, общественных или иных публичных интересов, установленных законодательством РФ.

15. СПЕЦИАЛЬНЫЕ ПРОЦЕДУРЫ ОТЗЫВА СОГЛАСИЙ
15.1. Отзыв согласия на обработку ПДн.
Субъект вправе отозвать согласие, направив запрос на электронный адрес Оператора с пометкой «Отзыв согласия на обработку ПДн». Обработка прекращается в течение 30 календарных дней. Данные уничтожаются в случае отсутствия иных правовых оснований для хранения.
15.2. Отзыв согласия на использование сервиса Яндекс.Метрика.
Субъект вправе в любой момент отказаться от использования сервиса Яндекс.Метрика через настройки cookie в футере Сайта либо направив запрос Оператору на электронный адрес Оператора. Оператор прекратит использование сервиса Яндекс.Метрика не позднее 30 календарных дней.
15.3. Отзыв согласия на обработку cookie.
Субъект вправе в любой момент отказаться от использования cookie, нажав кнопку «Отозвать» в футере Сайта. Обработка необязательных cookie прекратится в течение 24 часов. Технически необходимые данные продолжат обрабатываться на законных основаниях (ст. 6 ФЗ).
15.4. Отзыв согласия на рекламные рассылки.
Субъект вправе отдельно отозвать согласие на обработку ПДн для целей рекламных рассылок, направив запрос с пометкой «Отзыв согласия на рекламные рассылки». Оператор прекратит обработку ПДн в срок не позднее 30 (тридцати) календарных дней. Данные уничтожаются Оператором, если не имеется иных правовых оснований для хранения.

16. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДН
16.1. Меры по обеспечению безопасности ПДн включают в себя комплекс правовых, организационных и технических мер, направленных на выполнение обязанностей Оператора, предусмотренных статьями 18.1 и 19 ФЗ-152. Указанные меры соответствуют требованиям для 3 уровня защищенности (с учетом актуальных угроз и модели угроз).
16.2. Оператор принимает комплекс правовых, организационных и технических мер, соответствующих требованиям к 3-му уровню защищенности ПДн (Постановление Правительства РФ от 01.11.2012 №1119, Приказ ФСТЭК России №21).
16.2.1. Организационные меры• назначение лица, ответственного за организацию обработки ПДн;
• разработка и внедрение локальных актов по вопросам обработки и защиты ПДн (включая настоящую Политику). Лица, непосредственно осуществляющие обработку ПДн, знакомятся с ними под подпись;
• ознакомление работников, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн и локальными актами;
• ограничение состава лиц, имеющих доступ к ПДн, и разграничение их прав доступа;
• осуществление внутреннего контроля за соблюдением требований к защите ПДн.
16.2.2. Технические меры• определение угроз безопасности ПДн при их обработке в информационных системах;
• использование лицензионного антивирусного программного обеспечения и межсетевых экранов;
• применение средств защиты информации (средства идентификации и аутентификации, регистрации событий);
• обеспечение резервного копирования и восстановления данных;
• использование надежных паролей и, где возможно, двухфакторной аутентификации;
• обеспечение физической сохранности носителей информации (ограничение доступа, хранение в запираемых помещениях);
• регулярное обновление программного обеспечения.
16.3. Оператор проводит регулярную оценку вреда, который может быть причинен субъектам ПДн в случае нарушения требований ФЗ-152, и принимает адекватные меры для недопущения такого вреда.

17. ПРИМЕНЯЕМЫЕ СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ПДН
17.1. Защита устройств:
• использование лицензионного антивирусного ПО;
• своевременная установка обновлений безопасности операционной системы и прикладного программного обеспечения;
• активация межсетевого экрана.
17.2. Управление доступом:
• использование уникальных и надежных паролей;
• ограничение физического доступа к устройствам;
• автоматическая блокировка сеанса при бездействии.
17.3. Резервное копирование:
• регулярное создание резервных копий баз данных, содержащих ПДн, на внешние защищенные носители, хранящиеся в условиях, исключающих несанкционированный доступ.

18. СВЕДЕНИЯ ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПДН В СООТВЕТСТВИИ С ТРЕБОВАНИЯМИ К ЗАЩИТЕ ПДН, УСТАНОВЛЕННЫМИ ПРАВИТЕЛЬСТВОМ РФ
18.1. В соответствии с Постановлением Правительства РФ от 01.11.2012 №1119, для обеспечения 3-го уровня защищенности ПДн при их обработке в информационной системе Оператором:
• назначено лицо, ответственное за обеспечение безопасности ПДн;
• указанное лицо проинформировано об особенностях и правилах осуществления такой обработки, локальными актами Оператора установлены места хранения ПДн и перечень лиц, осуществляющих обработку ПДн;
• определены и применяются меры по обеспечению сохранности машинных носителей ПДн;
• реализован доступ к данным только для уполномоченных лиц, которым это необходимо для выполнения трудовых обязанностей.
18.2. В соответствии с Постановлением Правительства РФ от 15.09.2008 №687 «Об утверждении Положения об особенностях обработки ПДн, осуществляемой без использования средств автоматизации», при осуществлении обработки ПДн без использования средств автоматизации, Оператором определены места хранения материальных носителей (при их наличии) и перечень лиц, осуществляющих такую обработку.

19. ИСПОЛЬЗОВАНИЕ СЕРВИСА ЯНДЕКС.КАРТЫ
19.1. Для визуального отображения местоположения гостиницы Оператор использует картографический сервис Яндекс.Карты.
19.2. При посещении главной страницы с картой браузер Пользователя автоматически загружает необходимые данные с серверов Яндекса. В рамках этого технического процесса Яндекс может получать следующие данные:

• IP-адрес;
• информацию из cookie;
• данные о браузере и устройстве (User-Agent).

19.3. Загрузка карты происходит без предварительного запроса согласия, так как необходима для информирования об адресе (ст. 6 ФЗ-152). Обработка данных (IP-адрес) при этом осуществляется Яндексом как самостоятельным оператором.
19.4. Оператор не использует функционал определения точного местоположения (геолокации). Карта отображается исключительно для удобства Пользователя и показывает только расположение объекта Оператора.
19.5. Обработка ПДн Яндексом регулируется его собственной Политикой конфиденциальности.

20. КЛАССИФИКАЦИЯ И НАЗНАЧЕНИЕ ФАЙЛОВ COOKIE
20.1. Технически необходимые (обязательные) файлы cookie
Данные файлы обеспечивают базовую функциональность Сайта, включая безопасность, корректную работу форм и многошаговых процессов.
Использование этих файлов не требует согласия Пользователя.
Блокировка этих файлов приведет к невозможности использования полного функционала Сайта (например, оформление заказа).
20.2. Функциональные файлы cookie
Предназначены для запоминания пользовательских настроек и персонализации интерфейса.
Обработка таких данных возможна только при наличии явного согласия Пользователя.
Отключение функциональных cookie не препятствует работе Сайта, однако потребует повторного ввода предпочтений при каждом посещении.
20.3. Аналитические файлы cookie
Используются для сбора и обработки обобщенной статистической информации о поведении пользователей с целью повышения качества и эффективности Сайта.
К этой категории относится сервис Яндекс.Метрика.
Данные агрегируются и обезличиваются.
Основная цель — выявление слабых мест интерфейса, оптимизация контента.
Для активации требуется отдельное, явное согласие Пользователя.

21. СОСТАВ ФАЙЛОВ COOKIE
21.1. Конкретный состав данных, фиксируемых в cookie, зависит от типа файла cookie, технических характеристик устройства Пользователя, а также от функциональных особенностей используемого программного обеспечения и Сайта.
Состав данных может включать:

• идентификаторы сессии/устройства;
• IP-адрес;
• тип браузера и ОС;
• геолокационные данные (страна, город);
• данные о поведении на Сайте (клики, время просмотра);
• информацию об ошибках (при наличии);
• данные о действиях Пользователя на Сайте.

22. МЕТРИЧЕСКИЕ ПРОГРАММЫ И СЕРВИСЫ АНАЛИТИКИ
22.1. Оператор информирует Пользователя о применении сервиса Яндекс.Метрика для сбора статистических данных о посещаемости Сайта, анализа поведения Пользователей и улучшения качества работы Сайта.
22.2. Информация об использовании Сайта передается Яндексу и хранится на серверах Яндекса в РФ.
22.3. При передаче в Яндекс.Метрику включаются данные, потенциально относящиеся к персональным, в том числе:

• IP-адрес;
• cookie-идентификаторы;
• сведения о взаимодействии с Сайтом.

22.4. Яндекс применяет технологии обезличивания (включая хэширование IP-адресов и анонимизацию идентификаторов), что исключает возможность прямой идентификации Пользователя, кроме как с использованием дополнительной информации, находящейся под контролем Яндекса.
22.5. Перечень обрабатываемых сервисом Яндекс.Метрика данных включает:

• технические данные устройства и программного обеспечения (тип браузера, ОС, разрешение экрана и т.д.);
• IP-адрес устройства;
• cookie-идентификаторы и идентификаторы пользователей/сессий;
• URL источника перехода на Сайт (реферер);
• данные о поведении пользователя на сайте (просмотренные страницы, клики, время нахождения, пользовательские события);
• приблизительные географические данные (определяемые по IP-адресу);
• данные о предполагаемых демографических характеристиках и интересах посетителей Сайта, предоставляемые Яндексом (если такие данные имеются у Яндекса и пользователь дал Яндексу соответствующее согласие).

22.6. Срок хранения файлов cookie: 26 месяцев.
22.7. Обработка данных, позволяющих идентифицировать Пользователя, осуществляется исключительно на основании его явного согласия, предоставленного в информационном баннере при первом посещении Сайта.
22.8. Пользователь имеет право в любой момент отозвать согласие через специальный интерфейс (виджет) управления cookie-файлами в футере Сайта, а также путем отправки запроса на электронный адрес Оператора.
Отзыв согласия через настройки браузера не считается надлежащим отзывом согласия и может привести к некорректной работе Сайта.
22.9. Пользователь информирован, что в связи с архитектурой сервиса Яндекс.Метрика (агрегация и обезличивание данных) техническое выделение и удаление конкретных данных, собранных до отзыва согласия, может быть затруднено.
Гарантированно все данные, обрабатываемые сервисом, обезличиваются или удаляются Яндексом по истечении 26 месяцев с момента сбора.
22.10. Для полного и немедленного прекращения любой обработки данных сервисом Пользователю рекомендуется самостоятельно очистить файлы cookie и данные сайта в настройках своего браузера.

23. МЕХАНИЗМ ПОЛУЧЕНИЯ И УПРАВЛЕНИЯ СОГЛАСИЕМ НА ФАЙЛЫ COOKIE
23.1. При первом посещении Сайта Пользователю отображается информационный баннер (cookie-баннер) со следующим текстом:
«Мы используем cookie-файлы и сервис Яндекс.Метрика для сбора статистики, чтобы сайт работал корректно и улучшался. Обязательные cookie необходимы для работы сайта. Для использования аналитических cookie (Яндекс.Метрика) и функциональных cookie требуется ваше согласие. Подробнее – в Политике обработки персональных данных».
23.2. Баннер содержит три кнопки:
«Принять все»

• активируются все необязательные cookie;
• загружается скрипт Яндекс.Метрики;
• баннер закрывается.

«Принять необходимые»

• активируются только технически необходимые cookie;
• аналитические и функциональные cookie не загружаются;
• Яндекс.Метрика не запускается;
• баннер закрывается.

«Настроить»

• открывает панель детального выбора типов cookie;
• содержит переключатели для функциональных и аналитических cookie.

23.3. До нажатия любой из кнопок «Принять все» или «Принять необходимые» необязательные cookie не устанавливаются и не обрабатываются.
23.4. Пользователь может в любой момент отозвать или изменить свое согласие через виджет управления cookie в футере (подвале) Сайта либо направив запрос на email Оператора.
23.5. Отключение или удаление файлов cookie через настройки браузера не считается надлежащим способом отзыва согласия у Оператора и может привести к некорректной работе Сайта.
24. ОТВЕТСТВЕННОСТЬ СТОРОН
24.1. Оператор несет ответственность за нарушение требований законодательства РФ в области ПДн в соответствии с действующим законодательством.
24.2. Оператор не несет ответственность за утрату или разглашение конфиденциальной информации, если данная информация:

• стала публичным достоянием до ее утраты или разглашения;
• была получена от третьей стороны до момента ее получения Оператором;
• была разглашена с согласия Субъекта.

Следующим сообщением выведу разделы 25–27 и полностью Приложение №1 (таблицу целей обработки ПДн).

25. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПДН
25.1. Трансграничная передача ПДн Оператором не осуществляется. Все серверы, используемые для обработки данных Пользователей Сайта, расположены на территории Российской Федерации.
25.2. Передача данных сторонним сервисам, указанным в разделе «Передача данных третьим лицам», не является трансграничной передачей в смысле ст. 12 ФЗ-152, так как осуществляется в целях обработки по поручению Оператора. При этом Оператор предпринимает разумные меры к тому, чтобы такие обработчики также обеспечивали хранение данных на территории РФ, где это технически возможно и предусмотрено их соглашениями.
25.3. В случае возникновения необходимости трансграничной передачи Оператор обязуется соблюдать следующие условия: убедиться в том, что иностранным государством, на территорию которого предполагается осуществлять передачу ПДн, обеспечивается надежная защита прав субъектов ПДн.
26. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ26.1. Субъект может получить любые разъяснения по интересующим вопросам, касающимся обработки его ПДн, обратившись к Оператору по электронному адресу Оператора.
26.2. Настоящая Политика является общедоступным документом и подлежит размещению на Сайте. Актуальная редакция Политики всегда доступна.
26.3. Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке. Все изменения вступают в силу с момента их опубликования на Сайте, если иной срок не указан в новой редакции Политики. Пользователь обязуется самостоятельно следить за актуальной редакцией Политики.
26.4. Политика действует бессрочно до замены ее новой версией.

27. РЕКВИЗИТЫ ОПЕРАТОРА
Некоммерческое партнерство по рекреационной деятельности «Теплый Ветер»
ИНН: 5263985068
КПП: 526301001
ОГРН: 1115200004260
Юридический адрес:
603040, Нижегородская обл., г. Нижний Новгород, ул. Белинского, д. 85/3
Почтовый адрес:
603040, г. Нижний Новгород, ул. Белинского, д. 85/3
Телефон:
+7 (964) 837-13-53
+7 (902) 681-89-17
Электронная почта:
info@rassvethotel.ru

ПРИЛОЖЕНИЕ №1 ПЕРЕЧЕНЬ ЦЕЛЕЙ, СРОКОВ, СПОСОБОВ ОБРАБОТКИ ПДН, КАТЕГОРИЙ СУБЪЕКТОВ И ОБРАБАТЫВАЕМЫХ ПДН 1. Бронирование номеров и исполнение договора гостиничного обслуживания

Правовое основание:
Заключение и исполнение договора.
Категория субъектов:
Гости (физические лица, бронирующие номера).
Обрабатываемые ПДн:

• ФИО;
• номер телефона;
• адрес электронной почты;
• гражданство;
• дата рождения;
• данные документа, удостоверяющего личность (при офлайн-заселении);
• даты заезда/выезда;
• особые пожелания.

Способ обработки:
Смешанная.
Срок хранения:
5 лет с момента окончания договора или последнего взаимодействия.
Уничтожение:

• бумажные носители — шредирование;
• электронные данные — безвозвратное удаление специальным ПО.

2. Регистрация и ведение Личного кабинетаПравовое основание:
Заключение и исполнение договора.
Категория субъектов:
Пользователи, прошедшие регистрацию на Сайте.
Обрабатываемые ПДн:

• ФИО;
• номер телефона;
• адрес электронной почты;
• пароль (в зашифрованном виде).

Способ обработки:
Автоматизированная.
Срок хранения:
В течение всего срока существования учетной записи, после удаления аккаунта — не более 6 месяцев.
Уничтожение:
Удаление из базы данных Сайта без возможности восстановления.
3. Обработка запросов и обращений через формы обратной связиПравовое основание:
Согласие субъекта ПДн.
Категория субъектов:
Пользователи, направляющие запросы.
Обрабатываемые ПДн:

• ФИО;
• номер телефона;
• адрес электронной почты;
• содержание обращения;
• история переписки.

Способ обработки:
Смешанная.
Срок хранения:
6 месяцев с момента ответа на обращение (если обращение не привело к заключению договора).
Уничтожение:
Удаление электронных копий без возможности восстановления.
4. Направление рекламных и информационных рассылокПравовое основание:
Согласие субъекта ПДн.
Категория субъектов:
Подписчики, давшие отдельное согласие.
Обрабатываемые ПДн:

• имя;
• адрес электронной почты;
• номер телефона (в зависимости от канала).

Способ обработки:
Автоматизированная.
Срок хранения:
До момента отзыва согласия субъектом ПДн.
Уничтожение:
Удаление данных из базы рассылки сразу после отзыва согласия.
5. Сбор обезличенных статистических данных с помощью сервиса Яндекс.МетрикаПравовое основание:
Согласие субъекта ПДн через cookie-баннер.
Категория субъектов:
Посетители Сайта.
Обрабатываемые данные:

• технические данные (браузер, ОС, разрешение экрана);
• обезличенный IP-адрес;
• cookie-идентификаторы;
• данные о посещении (страницы, время, клики);
• геолокация (страна, город).

Способ обработки:
Автоматизированная.
Срок хранения:
До отзыва согласия, либо 26 месяцев с момента сбора.
Уничтожение:
Автоматическое обезличивание и удаление по истечении срока хранения сервисом Яндекс.Метрика.
На этом документ полностью транскрибирован начиная с раздела 2 и до конца.