5.2. Оператор не осуществляет целенаправленную обработку специальных категорий персональных данных и биометрических персональных данных. В случае если субъект персональных данных по собственной инициативе направил избыточные сведения (например, копии документов), Оператор использует только те сведения, которые необходимы для достижения соответствующей цели, а остальные сведения подлежат удалению либо обезличиванию.
5.3. Файлы cookie и технические журналы. На Сайте могут применяться файлы cookie, необходимые для его работоспособности и статистического анализа. Оператор самостоятельно не запрашивает и не использует сетевые идентификаторы (включая адрес интернет‑протокола и идентификатор программного обеспечения пользователя) для идентификации конкретного лица. Оператор не получает адрес интернет‑протокола (IP‑адрес) и строку идентификации программного обеспечения пользователя (User‑Agent) в составе отправляемых форм и заявок. Если такие сведения технически обрабатываются поставщиком платформы, хостинга или иными привлечёнными лицами для обеспечения работоспособности Сайта, безопасности и формирования обезличенной статистики, они обрабатываются указанными лицами в объёме, необходимом для достижения соответствующих целей, в соответствии с разделом 9 настоящей Политики, и не передаются Оператору, если иное прямо не предусмотрено договором или законодательством. При использовании любых файлов cookie, не необходимых для работы Сайта (например, аналитических или маркетинговых), Оператор обеспечивает получение отдельного согласия и предоставляет понятный способ отказа. Технические журналы (в том числе сведения о времени обращения и адресе интернет‑протокола) при их наличии хранятся не более срока, необходимого для обеспечения функционирования и безопасности Сайта (обычно до 365 календарных дней), после чего подлежат удалению или обезличиванию.
6. Принципы обработки персональных данных
6.1. Обработка персональных данных осуществляется на принципах законности, справедливости, добросовестности, минимизации, ограничения обработки заявленными целями, обеспечения точности и актуальности персональных данных, а также соблюдения конфиденциальности и безопасности.
7. Способы получения данных и каналы связи
7.1. Персональные данные предоставляются субъектом персональных данных добровольно: посредством форм на Сайте, а также путём направления сообщений на адрес электронной почты, через мессенджеры или по телефону. Переписка в мессенджерах и по электронной почте, содержащая подтверждение бронирования и/или условий, рассматривается как акцепт публичной оферты и подтверждение заключения договора дистанционным способом; письменная форма считается соблюдённой в порядке пункта 2 статьи 434 и абзаца второго пункта 1 статьи 160 Гражданского кодекса Российской Федерации при условии, что обмен сообщениями позволяет достоверно определить лицо, выразившее волю (используются контактные данные, указанные при оформлении заказа, фиксируются дата/время, идентификатор формы/заказа).
7.2. Связь с субъектом персональных данных осуществляется по предоставленным им контактам. Содержание сообщений в мессенджерах по умолчанию ограничено вопросами текущего заказа; сообщения, содержащие элементы продвижения, направляются только при наличии отдельного согласия на их получение.
8. Локализация баз данных и трансграничная передача персональных данных
8.1. Локализация. При сборе персональных данных граждан Российской Федерации Оператор не осуществляет запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение таких персональных данных с использованием баз данных, находящихся за пределами территории Российской Федерации. Первичные операции выполняются в базах данных, размещённых на территории Российской Федерации. Дополнительная обработка в иных информационных системах допускается только после первичного размещения в базе данных на территории Российской Федерации и при наличии законных оснований.
8.2. Трансграничная передача. До начала трансграничной передачи персональных данных Оператор направляет в уполномоченный государственный орган по защите прав субъектов персональных данных уведомление о намерении осуществлять такую передачу в предусмотренном порядке. По общему правилу уведомление рассматривается указанным органом в срок до десяти рабочих дней с даты получения. Передача допускается только при отсутствии запрета или ограничений, установленных по результатам рассмотрения уведомления. В случаях передачи персональных данных в государства, обеспечивающие адекватный уровень защиты прав субъектов персональных данных, ожидание указанного решения не требуется. Передача осуществляется на основании договора с субъектом персональных данных и (или) на основании информированного согласия субъекта персональных данных с применением мер защиты, соразмерных рискам, и с учётом возможных запретов или ограничений, установленных уполномоченным органом. Если фактически трансграничная передача персональных данных не осуществляется, Оператор трансграничную передачу не осуществляет.
9. Поручение обработки персональных данных и взаимодействие с третьими лицами
9.1. Оператор вправе поручать обработку персональных данных третьим лицам, деятельность которых необходима для достижения целей, указанных в настоящей Политике (поставщики веб‑платформ и хостинга, облачных сервисов и офисных инструментов, сервисов коммуникаций, платёжные системы, сервисы веб‑аналитики и иные лица).
9.2. Поручение оформляется договором, предусматривающим: обязанность таких лиц сохранять конфиденциальность персональных данных; обеспечивать их безопасность; обрабатывать только минимально необходимый объём персональных данных в пределах указанных целей; запрет на использование персональных данных в собственных целях; запрет на привлечение субподрядчиков без предварительного письменного согласия Оператора; обязанность немедленно уведомлять Оператора о каждом инциденте в отношении персональных данных; обязанность соблюдать требования локализации в отношении персональных данных граждан Российской Федерации.
9.3. Оператор не продаёт персональные данные и не раскрывает их иным лицам, за исключением случаев, предусмотренных законодательством Российской Федерации или необходимых для исполнения договора с субъектом персональных данных.
10. Подтверждение согласий и отказов; журнал согласий и реестр отказов
10.1. В целях подтверждения факта предоставления и отзыва согласий, а также надлежащего рассмотрения обращений Оператор ведёт журнал согласий и реестр отказов.
10.2. При отправке форм на Сайте и (или) при подтверждении в переписке фиксируются минимально необходимые сведения: дата и время соответствующего действия; страница‑источник; наименование или идентификатор формы либо обращения; текст и (или) версия согласия; отметки о воле субъекта персональных данных; контактные данные, указанные субъектом персональных данных и необходимые для идентификации и исполнения обращения.
10.3. Указанные сведения используются исключительно для подтверждения факта предоставления или отзыва согласий, прекращения рассылок по требованию, исполнения законных обязанностей и требований уполномоченных органов, а также для урегулирования претензий и споров.
10.4. Первичное размещение и хранение сведений журнала согласий и реестра отказов осуществляются в базах данных, расположенных на территории Российской Федерации.
10.5. Срок хранения сведений журнала согласий и реестра отказов составляет до трёх лет со дня соответствующего действия (предоставления или отзыва согласия), либо до истечения более длительных сроков, прямо предусмотренных законодательством Российской Федерации, после чего сведения подлежат удалению или обезличиванию.
10.6. Для предотвращения повторной отправки информационных и рекламных сообщений после отказа Оператор может хранить в реестре отказов минимально необходимый идентификатор канала связи (например, адрес электронной почты или номер телефона).
11. Сообщения и рассылки
11.1. Транзакционные сообщения, связанные с исполнением договора (включая подтверждения, напоминания, информацию о времени и месте проведения услуг и иные необходимые сведения), направляются на основании договора и согласия на обработку персональных данных.
11.2. Информационные и рекламные сообщения, содержащие элементы продвижения (включая ссылки на подборки экскурсий, анонсы и специальные предложения), направляются только при наличии отдельного согласия на их получение. Прекращение рассылки осуществляется незамедлительно после получения требования субъекта персональных данных, направленного на официальный адрес электронной почты Оператора.
12. Сроки обработки, хранение и уничтожение персональных данных
12.1. В случае достижения цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий тридцати календарных дней с даты достижения цели, если иное не предусмотрено договором с субъектом персональных данных либо иными основаниями, разрешающими обработку без согласия.
12.2. В случаях, когда законодательство Российской Федерации требует хранения персональных данных в течение определённого периода (например, для целей бухгалтерского или налогового учёта), персональные данные хранятся в пределах таких сроков.
12.3. В срок не позднее семи рабочих дней со дня получения сведений, подтверждающих неполноту, неточность, неактуальность либо незаконное получение персональных данных, Оператор вносит необходимые изменения в персональные данные либо уничтожает такие персональные данные, снимая блокирование после актуализации.
12.4. При получении отзыва согласия на обработку персональных данных Оператор прекращает соответствующую обработку и, если сохранение персональных данных более не требуется для целей обработки, уничтожает их в срок, не превышающий тридцати календарных дней с даты поступления отзыва, если иное не предусмотрено законом или договором. При получении отдельного требования о прекращении обработки Оператор прекращает обработку персональных данных в срок, не превышающий десяти рабочих дней с даты получения соответствующего требования; указанный срок может быть продлён не более чем на пять рабочих дней при направлении субъекту персональных данных мотивированного уведомления с указанием причин продления.
12.5. В случае утраты необходимости в персональных данных, а также при установлении фактов неправомерной обработки, Оператор прекращает обработку и уничтожает персональные данные в сроки и порядке, установленные законодательством Российской Федерации.
12.6. Если уничтожение персональных данных в указанные сроки объективно невозможно, Оператор осуществляет их блокирование и обеспечивает уничтожение в срок не более шести месяцев, если иной срок не установлен федеральными законами.
13. Права субъекта персональных данных и порядок их реализации
13.1. Субъект персональных данных имеет права, предусмотренные законодательством Российской Федерации, включая право получать сведения об обработке своих персональных данных, требовать уточнения, блокирования или уничтожения своих персональных данных, отзывать согласия на обработку, ограничивать обработку, а также право обжаловать действия или бездействие Оператора в уполномоченный государственный орган и (или) в суд.
13.2. Порядок обращений. Официальный канал для направления юридически значимых обращений по вопросам персональных данных — адрес электронной почты:
olga@rodnieprostori.ru. Обращения, поступившие иными способами (включая мессенджеры и телефонные звонки), регистрируются и перенаправляются на указанный адрес для надлежащей обработки.
13.3. Срок и форма ответа. Ответ на обращение направляется субъекту персональных данных в срок, не превышающий десяти рабочих дней с даты его получения Оператором. Указанный срок может быть продлён не более чем на пять рабочих дней при направлении субъекту персональных данных мотивированного уведомления с указанием причин продления. Ответ предоставляется в той форме, в которой направлены соответствующее обращение либо запрос, если иное не указано в обращении или запросе.
13.4. В целях защиты персональных данных Оператор вправе запросить у заявителя дополнительные сведения, необходимые для подтверждения личности и корректной обработки обращения. После получения отзыва соответствующего согласия Оператор прекращает соответствующую обработку персональных данных, если иное прямо не предусмотрено законодательством Российской Федерации или не вытекает из обязательств по договору.
14. Обновление сведений и изменения настоящей Политики
14.1. Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке. Новая редакция Политики вступает в силу с момента её публикации на Сайте.
14.2. В случае изменения сведений, указанных в уведомлении об обработке персональных данных, Оператор не позднее пятнадцатого числа месяца, следующего за месяцем изменений, направляет обновлённые сведения в уполномоченный государственный орган по защите прав субъектов персональных данных, в порядке и по форме, установленными этим органом.
14.3. Ответственность за ознакомление с актуальной редакцией Политики лежит на пользователе. Рекомендуется периодически проверять страницу Политики на Сайте.
15. Контактные сведения и адрес размещения Политики
15.1. Оператор: Индивидуальный предприниматель Голубенко Ольга Владимировна.
15.2. Официальный адрес электронной почты для обращений по вопросам персональных данных:
olga@rodnieprostori.ru.
15.3. Актуальная версия Политики находится в свободном доступе по адресу:
https://rodnieprostori.ru/policy/.
16. Меры защиты персональных данных и ответственное лицо за организацию обработки
16.1. Оператор, являясь индивидуальным предпринимателем, лично выполняет функции лица, ответственного за организацию обработки персональных данных. В случае привлечения работников Оператор назначает ответственное лицо и определяет его полномочия локальным актом.
16.2. Для защиты персональных данных применяются правовые, организационные и технические меры, предусмотренные законодательством Российской Федерации, включая внутренний контроль и аудит соответствия обработки требованиям законодательства и локальных актов; разграничение и управление доступом к персональным данным; учёт и регистрацию действий пользователей в информационных системах; использование при необходимости сертифицированных средств защиты информации; реагирование на инциденты и их документирование; обучение работников требованиям по обработке и защите персональных данных; договорные ограничения и контроль в отношении лиц, обрабатывающих персональные данные по поручению Оператора. Уровень защищённости информационных систем персональных данных и перечень реализуемых мер определяются с учётом уровня защищённости, в соответствии с Постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 и Приказом Федеральной службы по техническому и экспортному контролю России от 18 февраля 2013 года № 21, с документированием результатов моделирования угроз и принятых мер.
17. Порядок действий при инцидентах, связанных с персональными данными
17.1. Под инцидентом в области персональных данных понимается событие, в результате которого произошло или могло произойти неправомерное раскрытие, предоставление, использование, уничтожение, изменение, блокирование, копирование, распространение, предоставление доступа либо иные неправомерные действия в отношении персональных данных.
17.2. При выявлении инцидента в области персональных данных Оператор в срок не более двадцати четырёх часов направляет первичное уведомление в уполномоченный государственный орган по защите прав субъектов персональных данных в порядке, установленном этим органом.
17.3. В срок не более семидесяти двух часов со времени направления первичного уведомления Оператор направляет в уполномоченный государственный орган сведения о результатах внутреннего расследования инцидента и принятых мерах по его устранению и недопущению повторения. Подтверждение уничтожения и иные необходимые сведения предоставляются в порядке, установленном уполномоченным органом.
17.4. При наличии риска причинения вреда субъектам персональных данных Оператор информирует таких субъектов персональных данных о характере инцидента и рекомендуемых мерах по снижению рисков.
18. Дополнительные положения
18.1. Платёжные реквизиты. Обработка реквизитов платёжных карт и иных данных, необходимых для совершения оплаты, осуществляется платёжными сервисами. Оператор не получает и не хранит такие реквизиты и не осуществляет их обработку.
18.2. Принятие решений исключительно на основе автоматизированной обработки. Оператор не принимает решений, влекущих для субъекта персональных данных юридические последствия или иным образом существенным образом влияющих на его права и законные интересы, исключительно на основе автоматизированной обработки персональных данных, без участия человека.
18.3. Поступления денежных средств на банковский счёт или банковскую карту Оператора и подтверждающие документы. При оплате услуг переводом на банковский счёт или банковскую карту, в том числе при оплате с использованием системы быстрых платежей, Оператор получает от кредитной организации и (или) платёжного сервиса ограниченный набор сведений о платеже: фамилию и имя плательщика (или иное обозначение, предоставляемое банком), дату и время операции, сумму, идентификатор транзакции и (или) ссылку на чек, наименование банка-отправителя, маскированные реквизиты инструмента оплаты (например, четыре последние цифры банковской карты), а также назначение платежа или комментарий. Указанные сведения обрабатываются на основании договора и исполнения обязанностей, установленных законодательством Российской Федерации (в том числе в целях бухгалтерского и налогового учёта), а также для предотвращения недобросовестных действий и урегулирования претензий; отдельное согласие субъекта персональных данных на такую обработку не требуется.
Оператор не запрашивает и не хранит полный номер банковской карты, срок её действия и код проверки подлинности. Документы, подтверждающие оплату (банковские выписки, электронные чеки, квитанции, а также изображения/скриншоты, направленные субъектом персональных данных), используются только в объёме, необходимом для подтверждения оплаты и исполнения обязанностей Оператора, и хранятся в сроки, установленные законодательством о бухгалтерском учёте и налоговом учёте (не менее пяти лет после отчётного года), после чего подлежат удалению либо архивному хранению в соответствии с правилами организации государственного архивного дела. В случае если субъект персональных данных направил документ или изображение, содержащее избыточные сведения (например, полный номер банковской карты), Оператор использует лишь необходимые сведения, а остальная информация подлежит удалению или маскированию.
18.4. Персональные данные несовершеннолетних. Услуги Оператора не ориентированы на обработку персональных данных несовершеннолетних без участия их законных представителей. Запросы законных представителей об осуществлении прав в отношении персональных данных несовершеннолетних удовлетворяются в приоритетном порядке после подтверждения полномочий законного представителя.