Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика разработана во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок и условия обработки персональных данных Обществом с ограниченной ответственностью «Лотос».

1.2. Оператор персональных данных: ООО «Лотос», ИНН 2319007607, КПП 231901001, ОГРН 1022302832529. Место нахождения и почтовый адрес: 354037, Россия, Краснодарский край, г. Сочи, Хостинский район, ул. Ялтинская, д. 14, оф. 1.

1.3. Политика применяется к обработке персональных данных при использовании сайта lotos.bz, обращении в отель, бронировании и оплате проживания, заселении и проживании, участии в программе лояльности и получении сообщений от Оператора.

1.4. Политика распространяется на автоматизированную, неавтоматизированную и смешанную обработку. Она не заменяет отдельное согласие, когда закон требует получить такое согласие.

1.5. Лицом, ответственным за организацию обработки персональных данных, назначается работник ООО «Лотос» на основании внутреннего приказа.

2. Основные понятия

В Политике используются понятия в значениях, установленных Федеральным законом № 152-ФЗ:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу;
• обработка персональных данных — любое действие или совокупность действий с персональными данными;
• предоставление персональных данных — раскрытие данных определённому лицу или определённому кругу лиц;
• распространение персональных данных — раскрытие данных неопределённому кругу лиц;
• блокирование — временное прекращение обработки, кроме случаев, когда обработка необходима для уточнения данных;
• уничтожение — действия, после которых восстановить содержание данных невозможно;
• обезличивание — действия, после которых без дополнительной информации невозможно определить принадлежность данных конкретному лицу.

3. Принципы и правовые основания обработки

3.1. Оператор обрабатывает персональные данные законно, добросовестно, соразмерно заявленным целям и не объединяет базы данных с несовместимыми целями.

3.2. Для каждой цели Оператор определяет необходимый состав данных и не требует избыточных сведений.

3.3. Правовыми основаниями обработки являются:

• согласие субъекта персональных данных;
• заключение и исполнение договора по инициативе субъекта либо договора, стороной, выгодоприобретателем или поручителем по которому является субъект;
• исполнение обязанностей, возложенных на Оператора законодательством о гостиничных услугах, регистрации граждан, миграционном, налоговом, бухгалтерском и кассовом учёте;
• осуществление прав и законных интересов Оператора при условии, что права и свободы субъекта не нарушаются;
• иные основания, предусмотренные законодательством Российской Федерации.

3.4. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

3.5. Оператор не обрабатывает специальные категории и биометрические персональные данные, если такая обработка не требуется законом и не имеет отдельного законного основания.

3.6. Оператор не распространяет персональные данные неопределённому кругу лиц без отдельного согласия, отвечающего требованиям статьи 10.1 Федерального закона № 152-ФЗ, либо иного законного основания.

4. Категории субъектов и персональных данных

4.1. Оператор может обрабатывать данные следующих категорий субъектов:

• посетители сайта и лица, направляющие обращения;
• заказчики бронирования и потребители гостиничных услуг;
• гости, проживающие совместно с заказчиком, включая несовершеннолетних и их законных представителей;
• участники программы лояльности и получатели рекламных сообщений;
• представители юридических лиц, туристических агентств и иных заказчиков;
• посетители отеля и пользователи парковки.

4.2. В зависимости от цели могут обрабатываться:

• фамилия, имя, отчество, пол, дата и место рождения, гражданство;
• телефон, электронная почта, адрес проживания или регистрации;
• реквизиты документа, удостоверяющего личность, сведения о визе, миграционной карте, виде на жительство или разрешении на временное проживание;
• сведения о законном представителе и сопровождаемых несовершеннолетних;
• номер бронирования, даты проживания, категория и номер комнаты, выбранный тариф, стоимость, дополнительные услуги, пожелания к проживанию, история изменений и отмен;
• сведения о платеже и кассовом документе без хранения полного номера банковской карты Оператором;
• сведения о месте работы и командировке, если они необходимы корпоративному заказчику;
• государственный регистрационный номер транспортного средства при использовании парковки;
• содержание обращений, переписки, отзывов и претензий;
• номер карты лояльности, история начисления и использования привилегий;
• IP-адрес, файлы cookies, идентификаторы браузера и устройства, сведения о действиях на сайте и источнике перехода.

5. Цели, состав и сроки обработки

5.1. Если для определённого документа законодательством установлен иной срок, применяется установленный законом срок. По окончании срока данные уничтожаются или обезличиваются, если отсутствует другое законное основание обработки.

6. Получение персональных данных

6.1. Оператор получает данные:

• непосредственно от субъекта или его законного представителя;
• от заказчика бронирования в отношении совместно проживающих лиц при наличии законного основания;
• через формы сайта, телефон, электронную почту и при личном обращении;
• через модуль онлайн-бронирования TravelLine: Booking Engine;
• от туристических агентств, агрегаторов и корпоративных заказчиков на основании договора или иного законного основания;
• автоматически при работе сайта — в объёме, описанном в Правилах использования cookies.

6.2. Субъект обязан предоставлять достоверные данные. Лицо, передающее данные других гостей, подтверждает наличие полномочий и законного основания для такой передачи и обязуется ознакомить этих лиц с настоящей Политикой.

6.3. Отказ предоставить обязательные для договора или установленные законом сведения может сделать бронирование, расчёт или заселение невозможными. Отказ от рекламного или аналитического согласия не влияет на возможность получить гостиничную услугу.

7. Предоставление данных и поручение обработки

7.1. Доступ к персональным данным предоставляется работникам Оператора только в объёме, необходимом для исполнения трудовых обязанностей.

7.2. Для бронирования Оператор поручает обработку данных ООО «ТРЭВЕЛ ЛАЙН СИСТЕМС», адрес: 424003, Республика Марий Эл, г. Йошкар-Ола, проспект Ленинский, д. 56А. TravelLine обрабатывает данные в информационной системе бронирования по поручению Оператора и в соответствии со своими опубликованными документами.

7.3. В необходимом объёме данные могут предоставляться:

• банкам, эквайринговым и платёжным организациям — для проведения и возврата платежей;
• провайдерам хостинга, электронной почты, телефонии, технической поддержки и программного обеспечения — для обеспечения работы информационных систем;
• ООО «ЯНДЕКС» — при использовании Яндекс Метрики и картографических сервисов с учётом выбора пользователя в cookie-баннере;
• государственным органам, включая органы регистрационного и миграционного учёта, — в случаях и объёме, установленных законом;
• туристическим агентствам, агрегаторам и корпоративным заказчикам — в рамках соответствующего бронирования и договора;
• профессиональным консультантам и представителям — для рассмотрения претензий и защиты прав при соблюдении конфиденциальности.

7.4. В поручениях на обработку Оператор определяет цели, состав данных, операции, требования к конфиденциальности, защите, локализации, подтверждению мер и уведомлению об инцидентах.

7.5. Оператор не продаёт персональные данные и не предоставляет их третьим лицам для их самостоятельной рекламы.

7.6. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации при сборе через Интернет осуществляются с использованием баз данных на территории Российской Федерации.

7.7. Оператор не осуществляет трансграничную передачу в собственных информационных системах. Переход по внешней ссылке на иностранный мессенджер является самостоятельным выбором пользователя и регулируется правилами такого сервиса. Не следует передавать через мессенджеры паспортные данные и реквизиты банковских карт.

8. Cookies и веб-аналитика

8.1. Сайт использует технически необходимые cookies и, при наличии согласия пользователя, аналитические cookies Яндекс Метрики.

8.2. Подробная информация о категориях cookies, сроках, порядке принятия или отклонения необязательных cookies размещена в Правилах использования cookies.

8.3. Отказ от аналитических cookies не ограничивает доступ к основным страницам и функциям сайта.

9. Хранение, блокирование и уничтожение

9.1. Бумажные носители хранятся в помещениях и шкафах с ограниченным доступом. Электронные данные хранятся в защищённых информационных системах с разграничением прав доступа.

9.2. По достижении цели, истечении срока или при наступлении другого законного основания Оператор прекращает обработку и уничтожает данные в сроки, установленные статьёй 21 Федерального закона № 152-ФЗ, если данные не должны продолжать обрабатываться по договору или закону.

9.3. Уничтожение подтверждается актом, а при автоматизированной обработке — также выгрузкой из журнала регистрации событий информационной системы в предусмотренных законом случаях.

9.4. Резервные копии выводятся из использования и удаляются в рамках установленного цикла перезаписи с обеспечением невозможности их штатного использования после принятия решения об уничтожении.

10. Права субъектов персональных данных

Субъект вправе:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных;
• отозвать согласие и потребовать прекращения обработки, основанной на согласии;
• отказаться от рекламных сообщений в любое время;
• обжаловать действия или бездействие Оператора в Роскомнадзор или суд;
• осуществлять иные права, предусмотренные законодательством.

Отзыв согласия не влияет на законность обработки до его отзыва и не прекращает обработку, необходимую для договора, исполнения закона или защиты прав.

11. Меры защиты и действия при инцидентах

11.1. Оператор применяет необходимые правовые, организационные и технические меры, включая:

• назначение ответственного лица и принятие локальных актов;
• учёт носителей, разграничение доступа и обязательства о конфиденциальности;
• использование средств защиты, резервного копирования и контроля событий;
• оценку рисков, внутренний контроль и обучение работников;
• контроль лиц, обрабатывающих данные по поручению Оператора;
• процедуры обнаружения, расследования и устранения инцидентов.

11.2. При инциденте, повлёкшем нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов, а результаты внутреннего расследования направляет в течение 72 часов в случаях, предусмотренных законом.

12. Порядок обращений

12.1. Обращение можно направить по почтовому адресу Оператора либо на info@lotos.bz.

12.2. Запрос должен позволять идентифицировать заявителя и подтвердить его отношения с Оператором. Оператор вправе запросить дополнительные сведения, если без них невозможно достоверно установить личность или предмет запроса.

12.3. Ответ предоставляется в течение 10 рабочих дней. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

12.4. Неточные данные уточняются в течение 7 рабочих дней после получения подтверждающих сведений. Требование о прекращении обработки исполняется в течение 10 рабочих дней, если отсутствует законное основание продолжать обработку; срок может быть продлён не более чем на 5 рабочих дней.

13. Заключительные положения

13.1. Политика действует с даты утверждения новой редакции и размещается в свободном доступе на сайте.

13.2. Оператор пересматривает Политику при изменении законодательства, способов обработки, состава информационных систем или подключённых сервисов.

13.3. К отношениям, не урегулированным Политикой, применяется законодательство Российской Федерации.