Правила обработки персональных данных

1. Общие положения

1.1. Правила являются документом, определяющим политику Оператора в отношении обработки персональных данных, и подлежат размещению в свободном доступе на сайте stayinvilla.ru.

1.2. Правила действуют в отношении всех персональных данных, которые Оператор обрабатывает при осуществлении своей деятельности, включая данные, получаемые через сайт stayinvilla.ru.

1.3. Правила применяются совместно с Политикой конфиденциальности Оператора. В случае расхождений в части детального порядка обработки приоритет имеют настоящие Правила.

1.4. Термины, используемые в Правилах, применяются в значениях, определённых статьёй 3 Федерального закона № 152-ФЗ.

2. Принципы обработки персональных данных

2.1. Обработка персональных данных осуществляется на законной и справедливой основе.

2.2. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных.

2.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

2.4. Обработке подлежат только персональные данные, отвечающие целям их обработки; содержание и объём обрабатываемых данных соответствуют заявленным целям и не являются избыточными по отношению к ним.

2.5. При обработке обеспечиваются точность, достаточность и актуальность персональных данных. Данные, являющиеся неполными или неактуальными, подлежат уточнению или удалению.

2.6. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки. Данные уничтожаются или обезличиваются по достижении целей обработки или в случае утраты необходимости в их достижении, если иное не предусмотрено законом.

3. Категории субъектов и состав обрабатываемых персональных данных

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

3.2. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные.

4. Цели и правовые основания обработки

4.1. Цели обработки: приём и обработка заявок и обращений; консультирование и обратная связь; подбор объектов размещения; заключение и исполнение договоров на оказание услуг по подбору, бронированию и сопровождению аренды, организации трансфера и сопутствующих услуг; ведение клиентской базы; веб-аналитика и улучшение работы сайта; исполнение требований законодательства.

4.2. Правовые основания обработки:

• согласие субъекта персональных данных на обработку его персональных данных (статья 6, часть 1, пункт 1 Федерального закона № 152-ФЗ);
• необходимость обработки для заключения и исполнения договора, стороной которого является субъект персональных данных (статья 6, часть 1, пункт 5);
• необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации;
• осуществление прав и законных интересов Оператора при условии ненарушения прав и свобод субъекта персональных данных.

5. Порядок и условия обработки персональных данных

5.1. Обработка осуществляется с использованием средств автоматизации и без использования таких средств. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Сбор персональных данных осуществляется при заполнении пользователем форм на сайте, а также в ходе последующего взаимодействия (переписка, телефонная связь).

5.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (в том числе на платформах Tilda и amoCRM).

5.4. Оператор вправе поручать обработку персональных данных другим лицам на основании договора при условии соблюдения ими принципов и правил обработки, предусмотренных Федеральным законом № 152-ФЗ, и обязательства о конфиденциальности.

5.5. Трансграничная передача персональных данных осуществляется при соблюдении требований статьи 12 Федерального закона № 152-ФЗ, в том числе при наличии согласия субъекта на трансграничную передачу его персональных данных и после направления в уполномоченный орган уведомления о намерении осуществлять такую передачу.

5.6. Оператор обеспечивает направление в уполномоченный орган по защите прав субъектов персональных данных уведомления об обработке (о намерении осуществлять обработку) персональных данных в случаях, предусмотренных статьёй 22 Федерального закона № 152-ФЗ.

6. Сроки обработки. Уничтожение и обезличивание

6.1. Обработка персональных данных осуществляется в течение срока, необходимого для достижения целей обработки, а после — в течение срока, установленного законодательством (в том числе для целей бухгалтерского и налогового учёта) либо договором.

6.2. По достижении целей обработки, при утрате необходимости в их достижении, а также при отзыве субъектом согласия (при отсутствии иных законных оснований для продолжения обработки) персональные данные подлежат прекращению обработки и уничтожению или обезличиванию.

6.3. Уничтожение персональных данных производится способом, исключающим дальнейшую обработку и восстановление их содержания, с фиксацией факта уничтожения. Персональные данные на бумажных носителях уничтожаются способом, исключающим их прочтение.

7. Права субъектов персональных данных и порядок их реализации

7.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных; на уточнение, блокирование или уничтожение персональных данных в установленных законом случаях; на отзыв согласия на обработку; на обжалование действий или бездействия Оператора в уполномоченном органе или в суде.

7.2. Запрос субъекта направляется Оператору на адрес rent@samui.rest и должен содержать сведения, позволяющие идентифицировать субъекта, и суть требования. Оператор рассматривает обращение и предоставляет ответ в сроки, установленные Федеральным законом № 152-ФЗ.

7.3. Отзыв согласия оформляется в свободной форме и направляется Оператору по указанному адресу. После получения отзыва Оператор прекращает обработку персональных данных, за исключением случаев, когда обработка может быть продолжена на иных законных основаниях.

8. Меры по обеспечению безопасности персональных данных

8.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

8.2. Организационные меры включают, в частности:

• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение и разграничение доступа к персональным данным кругом лиц, которым они необходимы для выполнения служебных обязанностей;
• ознакомление лиц, осуществляющих обработку, с требованиями законодательства и локальных документов Оператора и обеспечение конфиденциальности;
• контроль за принимаемыми мерами и уровнем защищённости.

8.3. Технические меры включают, в частности:

• использование средств антивирусной защиты и защиты информации;
• применение паролей и иных механизмов аутентификации и авторизации;
• контроль доступа к используемым сервисам, учётным записям и электронной почте;
• резервное копирование данных;
• иные меры, направленные на предотвращение утраты, искажения и неправомерного доступа к персональным данным.

9. Действия при инцидентах безопасности персональных данных

9.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 часов с момента выявления инцидента — о произошедшем инциденте, его предполагаемых причинах и предполагаемом вреде, а также о принятых мерах;
• в течение 72 часов с момента выявления инцидента — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при их установлении).

9.2. Оператор обеспечивает внутренний учёт таких инцидентов и принимает меры по устранению их причин и последствий.

10. Ответственное лицо

10.1. Лицом, ответственным за организацию обработки персональных данных, является Оператор — Царьков Артём Владимирович, если приказом (распоряжением) Оператора не назначено иное лицо.

10.2. Ответственное лицо организует внутренний контроль за соблюдением требований законодательства и настоящих Правил, доводит до сведения лиц, осуществляющих обработку, положения законодательства и локальных документов, организует приём и обработку обращений субъектов персональных данных.

11. Заключительные положения

11.1. Настоящие Правила подлежат пересмотру по мере необходимости, в том числе при изменении законодательства Российской Федерации.

11.2. Новая редакция Правил вступает в силу с момента её утверждения Оператором и размещения на сайте.