ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИСПОЛЬЗОВАНИИ СИСТЕМЫ БРОНИРОВАНИЯ
ПОЖАЛУЙСТА, ВНИМАТЕЛЬНО ОЗНАКОМЬТЕСЬ С НАСТОЯЩЕЙ ПОЛИТИКОЙ. БРОНИРУЯ НОМЕР В ГОСТИНИЧНОМ КОМПЛЕКСЕ «ПОКРОВСКИЙ», ВЫ, СУБЪЕКТ ПЕРСОНАЛЬНЫХ ДАННЫХ, ТЕМ САМЫМ ВЫРАЖАЕТЕ СОГЛАСИЕ С НАСТОЯЩЕЙ ПОЛИТИКОЙ И ОПИСАННЫМИ В НЕЙ УСЛОВИЯМИ ОБРАБОТКИ ВАШИХ ПЕРСОНАЛЬНЫХ ДАННЫХ. ЕСЛИ ВЫ НЕ СОГЛАСНЫ, НЕ ИСПОЛЬЗУЙТЕ СИСТЕМУ БРОНИРОВАНИЯ.
1.Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных при использовании системы бронирования подготовлена в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона Российской Федерации «О персональных данных» № 152-ФЗ от 27 июля 2006 г. и определяет позицию Общества с ограниченной ответственностью «Покровский» касательно обработки и защиты персональных данных, соблюдения прав и свобод каждого субъекта персональных данных и в особенности права на неприкосновенность частной жизни, личную и семейную тайны, в рамках функционирования системы бронирования, доступной по адресу: https://pskhotel/ru/booking/#
Настоящая Политика не регламентирует вопросы обработки персональных данных при использовании иных средств бронирования, которые доступны на версиях сайта www.pskhotel.ru , составленных на иностранных языках. Настоящая Политика также не регламентирует вопросы обработки персональных данных при бронировании по телефону.
1.2. ООО «Покровский», учрежденное по законодательству Российской Федерации (ОГРН:1196027002753, ИНН: 6027197108) и зарегистрированное по юридическому адресу: Российская Федерация, 180017, г. Псков, улица Кузнецкая, дом 2, является оператором персональных данных, указанных в настоящей Политике.
1.3. Политика ООО «Покровский» в отношении обработки персональных данных состоит в том, что персональные данные должны обрабатываться только в случаях и в порядке, установленных применимым законодательством на законной и справедливой основе. Соблюдение и защита прав и законных интересов субъектов персональных данных являются главным приоритетом для ООО «Покровский».
1.4. Для целей настоящей Политики используются перечисленные ниже термины, которые могут быть указаны с большой или маленькой буквы. «Актуализация персональных данных» – действия по уточнению, обновлению и изменению персональных данных, направленные на обеспечение актуальности персональных данных по отношению к целям их обработки.
«Блокирование персональных данных» – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
«Данные» – персональные данные, обрабатываемые Компанией согласно настоящей Политике. «Закон» – Федеральный закон №152-ФЗ от 27.07.2006 «О персональных данных».
«Информационная система» – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
«Гости» – термин определен в п.4.3 Политики.
«Компания» – Общество с ограниченной ответственностью «Покровский», являющееся оператором Данных.
«Конфиденциальность персональных данных» – обязательное для выполнения лицом, получившим доступ к персональным данным, требование не передавать такую информацию третьим лицам без согласия ее обладателя. «Обработка персональных данных» – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение персональных данных.
«Оператор» – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
«Отель» – принадлежащий Компании Гостиничный комплекс «Покровский», расположенная по адресу: Российская Федерация 180017, г. Псков, ул. Кузнецкая, дом 2.
«Персональные данные» – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
«Политика» – настоящая Политика в отношении обработки персональных данных при использовании системы бронирования.
«Предоставление персональных данных» – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
«Роскомнадзор» – уполномоченный орган по защите прав субъектов персональных данных.
«Система бронирования» – модуль онлайн-бронирования TravelLine, доступный гостям по адресу: https://pskhotel/ru/booking/#
«Сбор персональных данных» – целенаправленный процесс получения персональных данных от субъекта персональных данных.
«Субъект персональных данных» – физическое лицо, к которому относятся персональные данные.
«Трансграничная передача персональных данных» – передача персональных данных на территорию иностранного государства иностранному оператору.
«Уничтожение персональных данных» – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) в результате которых уничтожаются материальные носители персональных данных.
«Хранение персональных данных» – процесс, предполагающий нахождение персональных данных в систематизированном виде в распоряжении Компании.
1.5. Гостю принадлежат следующие основные права:
-
право на получение информации, касающейся обработки его Данных;
-
право требовать уточнения Данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
-
право на обжалование действий (бездействия) Компании в органах власти, в том числе в судебном порядке;
-
право на защиту прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке либо согласно иной процедуре, предусмотренной применимым законодательством;
-
иные права, установленные применимым законодательством.
1.6. Компания, как оператор Данных, вправе обрабатывать Данные только в случаях, для достижения целей и с соблюдением иных условий, установленных Законом.
1.7. На Компанию возложены следующие основные обязанности:
-
при сборе Данных Компания обязана предоставить Гостю по его просьбе информацию, предусмотренную ч. 7 ст. 14 Закона;
-
если предоставление Данных является обязательным в соответствии с законодательством, Компания обязана разъяснить Гостю юридические последствия отказа от предоставления его Данных;
-
Компания обязана принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом и принятыми в соответствии с ним нормативными правовыми актами;
-
Компания обязана опубликовать в Интернете настоящую Политику, сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием Интернета;
-
Компания при обработке персональных данных обязана принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты Данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения Данных, а также от иных неправомерных действий в отношении Данных;
-
Компания обязана отвечать на обращения Гостей и запросы Роскомнадзора и предоставлять им информацию, касающуюся обработки Данных, в установленном Законом порядке;
-
Компания обязана устранять нарушения законодательства, допущенные при обработке Данных, уточнять, блокировать и уничтожать Данные (или обеспечивать выполнение этих действий лицом, действующим по поручению Компании);
-
Компания обязана до начала обработки персональных данных уведомить Роскомнадзор о своем намерении осуществлять обработку персональных данных за исключением случаев, установленных законом;
-
Компания обязана назначить Ответственного за организацию обработки персональных данных;
-
Компания несет иные предусмотренные законодательством обязанности в связи с обработкой Данных.
2. Цели сбора Данных
2.1. Обработка Данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка Данных, несовместимая с целями сбора персональных данных.
2.2. Компания обрабатывает Данные Гостей посредством системы бронирования для достижения цели, указанной в п.4.3 Политики.
3. Правовые основания обработки Данных
3.1. Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных.
3.2. Правовые основания обработки Данных Гостей указаны в п.4.3 Политики.
3.3. Посредством системы бронирования Гость заполняет заявку на бронирование по форме и в порядке, которые определены Компанией согласно п.15 Правил предоставления гостиничных услуг в Российской Федерации (утв. Постановлением Правительства РФ от 18.11.2020 № 1853). В случае если Компания подтвердит заявку Гостя, направив ему соответствующее уведомление, между Компанией и Гостем будет заключен договор о предоставлении гостиничных услуг. Гость принимает на себя обязанность при заселении в Отель заполнить регистрационную карту гостя. Условия договора о предоставлении гостиничных услуг сформулированы в подтвержденной заявке на бронирование и в регистрационной карте гостя.
3.4. Если Гость желает указать в заявке на бронирование персональные данные других Гостей, в пользу которых он совершает бронирование, то Гость обязан до заполнения заявки самостоятельно выполнить следующее: уведомить других Гостей о передаче их Данных Компании и об осуществлении обработки их Данных Компанией на условиях, изложенных в настоящей Политике; и получить у других Гостей согласие на обработку их Данных Компанией. Компания рассматривает таких Гостей, указанных в заявке, в качестве лиц, являющихся выгодоприобретателями по договору о предоставлении гостиничных услуг. Направляя заявку посредством системы бронирования, Гость тем самым заверяет Компанию и гарантирует ей, что он выполнил перечисленные в настоящем пункте действия.
4. Объем и категории обрабатываемых Данных, категории субъектов Данных
4.1. Содержание и объем обрабатываемых Данных должны соответствовать заявленным целям обработки. Обрабатываемые Данные не должны быть избыточными по отношению к заявленным целям их обработки.
4.2. Компания не обрабатывает специальные категории персональных данных Гостей (например, сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья).
4.3. Ниже приведены сведения об основных категориях и объеме обрабатываемых Данных Гостей применительно к целям, правовым основаниям и срокам обработки.
|
Категории Гостей (субъектов персональных данных) |
Категории Данных Гостей |
Цели обработки |
Сроки обработки |
Правовые основания обработки |
|
Гости |
фамилия, имя, отчество; адрес регистрации; данные документа, удостоверяющего личность. |
Оформление бронирования |
1. В АСУ “Fidelio” до истечения срока исковой давности (3 года) после окончания оказания гостиничных и иных сопутствующих услуг. 2. На бумажном носителе: - граждане РФ 30 дней после окончания оказания гостиничных услуг; - иностранные граждане и лица без гражданства 12 месяцев после окончания оказания гостиничных услуг. Основание: Приказ №6 от 15.04.2022
|
Требования нормативно-правового акта: п.п. 13, 14 15 Правил предоставления гостиничных услуг в Российской Федерации (утв. Постановлением Правительства РФ от 18.11.2020 № 1853). Согласие субъекта персональных данных: пп.1 ч.1 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Заключение договора на оказание гостиничных услуг по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем: пп.5 ч.1 ст.6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». |
5. Порядок и условия обработки Данных
5.1. Компания обрабатывает Данные с использованием средств автоматизации (в том числе АСУ “Fidelio”) и без использования средств автоматизации (в том числе на бумажных носителях). Компания обрабатывает Данные с использованием системы бронирования, которая является информационной системой, а также при помощи иных информационных систем. Компания может совершать следующие действия (операции) и/или совокупность действий (операций) с Данными:
-
сбор;
-
запись;
-
систематизация;
-
накопление;
-
хранение;
-
уточнение (обновление, изменение);
-
извлечение;
-
использование;
-
передача (предоставление, доступ);
-
блокирование;
-
удаление;
-
уничтожение
5.2. Компания всегда исходит из следующего:
-
Гость является дееспособным и совершеннолетним;
-
Гость сообщил достоверные и актуальные Данные;
-
Если Гость сообщает Данные других Гостей (в пользу которых выполняется бронирование), то Гость перед этим выполнил обязанность, установленную в п.3.4 настоящей Политики.
5.3. Данные Гостей обрабатываются до достижения цели их обработки или до отзыва Гостем согласия на обработку его Данных, если отсутствуют иные установленные законодательством основания для продолжения обработки Данных.
5.4. Гость настоящим соглашается, что Компания может поручать обработку Данных в рамках изложенных выше целей обработки третьим лицам путем заключения с ними договора на поручение обработки персональных данных. В частности, функционирование системы бронирования обеспечивает Общество с ограниченной ответственностью «ТРЭВЕЛ ЛАЙН СИСТЕМС» (адрес: 424003, г. Йошкар-Ола, Ленинский проспект 56А), обрабатывающее Данные по поручению Компании.
5.5. Гость настоящим соглашается, что для достижения указанной в п.4.3 Политики цели Компания может передавать Данные третьим лицам, действующим в качестве самостоятельных операторов. В частности, Компания передает Данные в Филиал Санкт-Петербургский АО «АЛЬФА-БАНК» г. Санкт-Петербург для безналичного приема платежей Гостя (эквайринга) в рамках оформления бронирования.
5.6. Компания передает Данные судам, правоохранительным, надзорным органам и иным уполномоченным органам власти и должностным лицам при наличии оснований, предусмотренных применимым законодательством.
5.7. Компания признает Данные строго конфиденциальной информацией. Компания и иные лица, получившие доступ к Данным, не раскрывают третьим лицам и не распространяют Данные без согласия соответствующего субъекта персональных данных, если иное не предусмотрено федеральным законом.
5.8. Во исполнение ч.2 ст.18.1 Закона, Компания публикует настоящую Политику, а также сведения о реализуемых требованиях к защите Данных (Приложение № 1 к Политике) в системе бронирования и обеспечивает постоянный, свободный и бесплатный доступ к ним для всех Гостей.
5.9. Компания принимает необходимые правовые, организационные и технические меры или обеспечивает их принятие для защиты Данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения Данных, а также от иных неправомерных действий в отношении Данных. Обеспечение безопасности Данных достигается, в частности:
-
определением угроз безопасности Данных при их обработке в информационных системах;
-
применением организационных и технических мер по обеспечению безопасности Данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите Данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
-
применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
-
оценкой эффективности принимаемых мер по обеспечению безопасности Данных до ввода в эксплуатацию информационной системы персональных данных;
-
учетом машинных носителей Данных;
-
обнаружением фактов несанкционированного доступа к Данным и принятием мер;
-
восстановлением Данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
-
установлением правил доступа к Данным, обрабатываемым в информационной системе, а также обеспечением регистрации и учета всех действий, совершаемых с Данными в информационной системе персональных данных;
-
контролем за принимаемыми мерами по обеспечению безопасности Данных и уровня защищенности информационных систем персональных данных.
5.10. Условием прекращения обработки Данных может являться достижение целей обработки Данных, истечение срока действия согласия или отзыв согласия субъекта персональных данных на обработку его Данных (если применимо), а также выявление неправомерной обработки Данных.
5.11. Хранение Данных осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки Данных, кроме случаев, когда срок хранения Данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
5.12. При сборе Данных Компания обязана обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, установленных Законом.
5.12. При сборе Данных Компания обязана обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, установленных Законом.
5.14. Компания не осуществляет трансграничную передачу Данных при использовании системы бронирования.
6. Актуализация, исправление, удаление и уничтожение Данных, ответы на запросы субъектов на доступ к Данным
6.1. В случае подтверждения факта неточности Данных или неправомерности их обработки Данные подлежат актуализации Компанией, а обработка должна быть прекращена, соответственно.
6.2. При достижении целей обработки Данных, а также в случае отзыва субъектом персональных данных согласия на их обработку Данные подлежат уничтожению, если:
-
иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
-
Компания не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом или иными федеральными законами;
-
иное не предусмотрено иным соглашением между Компанией и субъектом персональных данных.
6.3. Компания обязана сообщить субъекту персональных данных или его представителю информацию об осуществляемой им обработке персональных данных такого субъекта по запросу последнего.
7. Регламент реагирования на запросы/обращения субъектов персональных данных и их представителей, уполномоченных органов по поводу неточности персональных данных, неправомерности их обработки, отзыва согласия и доступа субъекта персональных данных к своим данным
7.1. Гости, являясь субъектами персональных данных, имеют право на получение информации, касающейся обработки их Данных, в том числе содержащей:
-
подтверждение факта обработки Данных в Компании;
-
правовые основания и цели обработки Данных;
-
применяемые в Компании способы обработки Данных;
-
наименование и место нахождения Компании, сведения о лицах, которые имеют доступ к Данным или которым могут быть раскрыты Данные на основании договора с Компанией или на основании федерального закона;
-
обрабатываемые Данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
-
сроки обработки Данных, в том числе сроки их хранения;
-
порядок осуществления субъектом персональных данных прав, предусмотренных законодательством Российской Федерации в области Данных;
-
информацию об осуществленной или предполагаемой трансграничной передаче Данных;
-
наименование организации или фамилию, имя, отчество и адрес лица, осуществляющего обработку Данных по поручению Компании, если обработка поручена или будет поручена такой организации или лицу;
-
информацию о способах исполнения оператором обязанностей, установленных статьей 18.1 настоящего Федерального закона;
-
иные сведения, предусмотренные законодательством Российской Федерации в области персональных данных.
Для получения этой информации Гости вправе обратиться к Компании по контактным данным, указанным в п.7.14 ниже.
7.2. Гости вправе требовать от Компании уточнения их Данных, их блокирования или уничтожения в случае, если Данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
7.3. Оператор предоставляет сведения, указанные выше, Гостю или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и в них не должны содержаться Данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких Данных.
7.4 Сведения, указанные в 7.1, предоставляются Гостю или его представителю оператором в течение десяти рабочих дней с момента обращения либо получения оператором запроса Гостя или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес Гостя мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Запрос должен содержать:
-
номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
-
сведения, подтверждающие участие субъекта персональных данных в правоотношениях с Компанией, либо сведения, иным образом подтверждающие факт обработки персональных данных в Компании, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
7.5. Если указанные в настоящем разделе сведения, а также обрабатываемые Данные были предоставлены для ознакомления Гостю по его запросу, Гость вправе обратиться повторно в Компанию или направить повторный запрос в целях получения указанных сведений и ознакомления с такими Данными не ранее чем через тридцать дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому он является.
7.6. Гость вправе обратиться повторно в Компанию или направить повторный запрос в целях получения указанных выше сведений, а также в целях ознакомления с обрабатываемыми Данными до истечения срока, указанного в предыдущем пункте, в случае если такие сведения и (или) обрабатываемые Данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос должен содержать обоснование направления повторного запроса.
7.7. Компания вправе отказать Гостю в выполнении повторного запроса, не соответствующего установленным законом условиям. Такой отказ должен быть мотивированным.
7.8. Право Гостя на доступ к его Данным может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта персональных данных к его Данным нарушает права и законные интересы третьих лиц.
7.9. Компания сообщает в Роскомнадзор по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса.
7.10. Все поступающие обращения и запросы регистрируются как входящая корреспонденция, а также учитываются в соответствующих журналах Компании.
7.11. Обращения и запросы рассматриваются Ответственным за организацию обработки персональных данных. При возникновении вопросов или необходимости уточнения содержания запроса Ответственный за организацию обработки персональных данных связывается с лицом, направившим запрос / обращение по имеющимся в нем контактным данным.
7.12. Ответ на запрос / обращение оформляется в той же форме, в которой соответствующий запрос / обращение был получен (например, по электронной почте или в письменной форме), если иное прямо не установлено законодательством Российской Федерации или иная просьба не содержится в запросе / обращении.
7.13. Ответ на обращение Гостя может быть подписан Ответственным за организацию обработки персональных данных или Генеральным директором. Ответ на запрос Роскомнадзора подписывается Генеральным директором или лицом, действующим по его поручению на основании доверенности, выданной от имени Компании. Ответы на запросы и обращения регистрируются в соответствующих журналах Компании.
7.14. Запрос / обращение направляется в свободной форме по следующему адресу: ООО «Покровский», Российская Федерация 180017, город Псков, улица Кузнецкая, дом 2.
Вниманию Ответственного за организацию обработки персональных данных Почтовый адрес: Российская Федерация, 180017, город Псков, улица Кузнецкая, дом 2.
Приложение. Сведения о реализуемых требованиях к защите персональных данных.
По мере необходимости и с учетом угроз, актуальных для информационных систем, используемых Компанией для обработки Данных, Компания реализует перечисленные ниже требования к защите Данных, соответствующие третьему уровню защищенности персональных данных, и/или обеспечивает их реализацию привлекаемыми для обработки Данных лицами:
1) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
2) обеспечение сохранности носителей персональных данных;
3) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
4) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз;
5) назначение должностного лица (работника), ответственного за обеспечение безопасности персональных данных в информационной системе.