Политика обработки персональных данных

1. ПЕРЕЧЕНЬ ТЕРМИНОВ И СОКРАЩЕНИЙ

ТЕРМИН	ОПРЕДЕЛЕНИЕ
Автоматизированная обработка ПДн	Обработка данных с помощью компьютеров и программ.
Блокирование ПДн	Временное прекращение обработки (например, на время проверки точности данных).
Cookie	Небольшие текстовые файлы, которые сайт сохраняет на устройстве Пользователя. Они помогают сайту работать корректно, запоминать настройки и собирать обезличенную статистику.
IP адрес	Уникальный числовой адрес устройства в интернете.
Обезличивание ПДн	Превращение данных в такой вид, по которому невозможно установить, какому человеку они принадлежат, без дополнительной информации.
Обработка ПДн	Любые действия с персональными данными: сбор, запись, хранение, использование, передача, удаление и так далее.
Оператор	Общество с ограниченной ответственностью «Спутник-Гермес» (ОГРН 1186313093119, ИНН 6318040060, адрес места нахождения: 443041, Самарская обл., г. о. Самара, вн. р-н Ленинский, г. Самара, ул. Ленинская, д. 166, офис 75)
Персональные данные (ПДн)	Любая информация, которая прямо или косвенно относится к конкретному человеку (например, имя, телефон, e-mail, паспортные данные).
Политика	Настоящий документ «Политика обработки персональных данных», размещенный в постоянном доступе на Сайте по адресу https://sputnik-germes.ru/privacy-policy/
Предоставление ПДн	Передача данных конкретному лицу или узкому кругу лиц (например, туроператору для оформления тура).
Распространение ПДн	Передача данных неограниченному кругу лиц (например, публикация в интернете). Оператор не распространяет данные Пользователей.
Сайт	Веб-сайт https://sputnik-germes.ru/ и его поддомен https://river.sputnik-germes.ru/, где размещена информация о круизах и турах, формы для подбора тура, регистрации, бронирования и оплаты.
Субъект ПДн (Пользователь)	Любой человек старше 18 лет, который заходит на Сайт, заполняет формы, регистрируется, бронирует туры или иным образом передает Оператору свои данные.
Трансграничная передача ПДн	Передача данных на территорию другого государства.
Уничтожение ПДн	Полное удаление данных без возможности восстановления.
ФЗ 152	Федеральный закон «О персональных данных» от 27.07.2006 № 152-ФЗ.
Электронный адрес Оператора	cruise@sputnik-germes.ru. На этот адрес Пользователь может направить любой вопрос или требование, связанное с обработкой его данных, в том числе отзыв согласия.
Яндекс.Метрика	Сервис веб-аналитики компании ООО «Яндекс» (ИНН 7736207543). Помогает Оператору анализировать посещаемость сайта и улучшать его работу.
Яндекс.Карты	Виджет с картой на Сайте, который автоматически подгружается с серверов Яндекса. При этом браузер Пользователя передает Яндексу техническую информацию (IP-адрес, данные браузера).

2. ОБЩИЕ ПОЛОЖЕНИЯ

2.1. Настоящая Политика объясняет, как Оператор собирает, использует, хранит и защищает персональные данные всех, кто взаимодействует с Сайтом.

2.2. Документ разработан в соответствии с Конституцией РФ, Федеральным законом № 152-ФЗ «О персональных данных», иными нормативными правовыми актами Российской Федерации в области обработки и защиты ПДн.

2.3. Политика охватывает все ситуации, в которых Оператор так или иначе обрабатывает ПДн пользователей и посетителей:
• заполнение форм «Подобрать тур», «Наш менеджер поможет подобрать тур или круиз», «Обратная связь», «Позвоните мне!», а также формы заявки на оформление виз и аналогичных;
• телефонные звонки по номерам, размещенным на Сайте;
• регистрация на Сайте в качестве физического лица или агентства;
• авторизация в Личном кабинете;
• бронирование и оплата туров;
• подписка на рекламные рассылки (только с отдельного согласия);
• сбор статистики с использованием сервиса Яндекс.Метрика и анализ поведения на Сайте (только с отдельного согласия);
• обеспечение работы виджета Яндекс.Карт на Сайте;
• обеспечение стабильной и безопасной работы Сайта (технические данные, файлы cookie).

2.4. Простое использование Сайта – просмотр страниц, заполнение форм – уже означает, что Пользователь ознакомился с Политикой. Если Пользователь не согласен с условиями Политики, ему следует прекратить использование Сайта.

2.5. Однако самого по себе факта посещения недостаточно, чтобы Оператор начал обрабатывать ПДн для целей, требующих согласия. Такое согласие всегда оформляется отдельно: проставлением галочки в специальном поле (чек-боксе) на Сайте или нажатием кнопки отправки формы. Чек-бокс не активирован по умолчанию и сопровождается текстом «Я даю согласие на обработку моих персональных данных в соответствии с Политикой обработки персональных данных» с активной ссылкой на полный текст Политики. Без проставления отметки отправка формы технически невозможна.

2.6. Оператор исходит из того, что Пользователь предоставляет достоверные сведения о себе, и не проводит их самостоятельной проверки. За актуальность и достоверность данных отвечает сам Пользователь.

2.7. Сайт и предлагаемые услуги предназначены исключительно для лиц, достигших возраста 18 лет. Оставляя заявку и используя Сайт, Пользователь подтверждает достижение указанного возраста. Оператор не обрабатывает ПДн лиц, не достигших 18 лет, и вправе удалить полученные данные, если будет установлено, что Пользователь моложе 18 лет.

2.8. Вопросы обработки ПДн работников Оператора (а также работников туроператоров-партнеров) решаются внутренними документами. Сотрудники, допущенные к обработке, ознакомлены с настоящей Политикой и обязаны соблюдать конфиденциальность.

3. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПДН

3.1. Правовыми основаниями обработки ПДн Оператором являются:

3.1.1. Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 ФЗ-152) – для обработки ПДн, необходимых для регистрации, бронирования, оплаты туров, а также для передачи данных конкретному туроператору в целях исполнения договора о реализации туристского продукта.

3.1.2. Согласие субъекта ПДн на обработку (п. 1 ч. 1 ст. 6 ФЗ-152) – для целей, не вытекающих непосредственно из договора: направление рекламных рассылок, обработка обращений через формы «Подобрать тур», «Наш менеджер...», «Обратная связь», «Позвоните мне!», заявка на визу до момента заключения договора, сбор аналитики через Яндекс.Метрику.

4. МЕХАНИЗМЫ ПОЛУЧЕНИЯ СОГЛАСИЯ СУБЪЕКТА ПДН

Для сбора согласия Оператор использует следующие механизмы, обеспечивающие добровольность, конкретность и информированность:

4.1. Для форм «Подобрать тур», «Наш менеджер...», «Обратная связь», «Позвоните мне!», заявки на визу: при заполнении полей и нажатии кнопки отправки Пользователь подтверждает согласие на обработку указанных данных. Чек-бокс с текстом согласия и ссылкой на Политику обязателен к отметке, без него отправка невозможна;

4.2. Для формы «Позвоните мне!»: нажатие на кнопку «Позвоните мне!» означает полное и безоговорочное согласие с условиями обработки;

4.3. Для регистрации: при нажатии кнопки «Зарегистрироваться» Пользователь дает согласие на обработку всех данных, указанных в форме, в целях создания учетной записи и дальнейшего предоставления услуг. Чек-бокс с текстом согласия и ссылкой на Политику обязателен;

4.4. Для рекламной рассылки: используется отдельный, не активированный по умолчанию чек-бокс с поясняющим текстом. Согласие не является обязательным для использования основных функций Сайта. Пользователь может отозвать его в любой момент;

4.5. Для cookie (Яндекс.Метрика): при первом посещении Сайта отображается cookie-баннер с кнопками «Принять все», «Принять необходимые», «Настроить». До выбора необязательные cookie не загружаются. Отказ не препятствует использованию Сайта.

5. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Обработка ПДн осуществляется на основе следующих принципов:
• законности и справедливости;
• ограничения обработки конкретными, заранее определенными целями;
• недопущения объединения баз данных, содержащих ПДн, обрабатываемых в несовместимых целях;
• обработки только тех ПДн, которые отвечают целям (принцип минимизации);
• соответствия содержания и объема ПДн заявленным целям (недопущение избыточности);
• обеспечения точности, актуальности и принятия мер по удалению или уточнению неполных/неточных данных;
• хранения ПДн в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.

6. ЦЕЛИ ОБРАБОТКИ ПДН

Оператор обрабатывает ПДн строго для следующих заранее определенных и законных целей:

6.1. Подбор тура и консультирование (формы «Подобрать тур», «Наш менеджер поможет подобрать тур или круиз», «Позвоните мне!», телефонные звонки): связь с Пользователем для обсуждения параметров путешествия, подбор варианта, фиксация предварительной договоренности.
Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).

6.2. Обработка обращений и сообщений (форма «Обратная связь», заявка на визу):
• получение и рассмотрение вопросов, жалоб, запросов на оформление виз и иных сообщений;
• направление ответа Пользователю, консультирование.
Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152).

6.3. Регистрация, предоставление доступа к Личному кабинету, бронирование и оплата туров:
• создание и администрирование учетной записи (физического лица или агентства);
• идентификация Пользователя при авторизации;
• обеспечение возможности бронирования туров, обработка заказов, расчеты, направление уведомлений о статусе брони;
• передача контактных данных и предпочтений конкретному туроператору (ООО «Спутник-Гермес-Тревел» или ООО «Вояж-Туристик») для заключения и исполнения договора о реализации туристского продукта;
• проведение онлайн-оплаты через платежного партнера (банк-эквайринг); реквизиты банковских карт Оператор не собирает и не хранит – все платежные данные собираются и обрабатываются исключительно на стороне платежного шлюза;
• хранение истории заказов и платежных документов для целей бухгалтерского и налогового учета.
Правовое основание: исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152), а также требования законодательства о бухгалтерском учете.

6.4. Направление рекламных и информационных рассылок:
• информирование Пользователей, выразивших отдельное желание, об акциях, спецпредложениях, изменениях в услугах;
• осуществляется по электронной почте и/или через мессенджеры, в зависимости от выбранного канала при подписке.
Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152), запрашиваемое через отдельную форму или чек-бокс.

6.5. Анализ поведения пользователей и улучшение работы Сайта с помощью сервиса Яндекс.Метрика:
• сбор обезличенной статистической информации о посещаемости;
• анализ действий пользователей (просмотр страниц, клики, время, события);
• оценка эффективности и выявление ошибок, оптимизация структуры.
Правовое основание: согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152), предоставляемое через cookie-баннер.

7. СОСТАВ ОБРАБАТЫВАЕМЫХ ПДН

В зависимости от цели Оператор может обрабатывать следующие категории ПДн:

7.1. Для целей «Подбор тура и консультирование», «Обработка обращений и сообщений» (все заявочные формы, включая визовую)
• Имя;
• Номер телефона;
• Адрес электронной почты (если предусмотрен формой);
• Направление отдыха, желаемые сроки, количество человек, другие пожелания (свободный текст);
• Удобное время звонка (для формы «Позвоните мне!»);
• Текст сообщения/вопроса.

7.2. Для цели «Регистрация, Личный кабинет, бронирование и оплата»
• Для физических лиц: Логин, ФИО, телефон, Email, город, паспортные данные (серия, номер, кем и когда выдан), пароль (хранится в хешированном виде).
• Для агентств (представителей юридических лиц): Логин, наименование организации, юридический и фактический адрес, индекс, телефон, факс, Email, расчетный счет, банк, корреспондентский счет, ИНН, КПП, БИК, должность и ФИО руководителя, пароль. Из перечисленного к ПДн представителя относятся: телефон, Email, ФИО руководителя; остальные сведения характеризуют организацию.
• Данные о бронированиях и платежах: идентификатор заказа, сумма, дата и время транзакции. Реквизиты банковской карты Оператору не передаются.

7.3. Для цели «Рекламные рассылки»
• Имя (опционально);
• Адрес электронной почты;
• Номер телефона (для СМС-рассылок, если применимо).

7.4. Для цели «Аналитика (Яндекс.Метрика)» – собираются автоматически только при наличии согласия через cookie-баннер, данные обезличиваются:
• технические данные устройства и программного обеспечения (тип и версия браузера, ОС, разрешение экрана, поддержка JavaScript, язык);
• сетевые данные: обезличенный IP-адрес (с анонимизацией/хешированием), сведения об интернет-провайдере;
• идентификаторы cookie (уникальные идентификаторы браузера или сессии);
• данные о посещении (URL реферер, просмотренные страницы, время на страницах, клики, взаимодействие с формами);
• приблизительные географические данные (страна, город на основе обезличенного IP-адреса).

7.5. Оператор не собирает и не обрабатывает специальные категории ПДн (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические ПДн.

8. КАТЕГОРИИ СУБЪЕКТОВ ПДН

Оператор обрабатывает ПДн следующих категорий субъектов:
• заказчики (клиенты) – физические лица, достигшие возраста 18 лет, заполнившие заявку, зарегистрировавшиеся, заключившие договор или ведущие переговоры;
• представители агентств (юридических лиц) – лица, регистрирующие учетную запись от имени организации;
• посетители Сайта (включая незарегистрированных) – любые физические лица, просматривающие страницы Сайта;
• подписчики рекламных рассылок – физические лица, выразившие отдельное согласие на получение рекламных материалов.

9. СРОКИ ХРАНЕНИЯ И ОБРАБОТКИ ПДН

9.1. Обработка ПДн осуществляется строго в пределах сроков, необходимых для достижения заявленных целей, если иное не установлено федеральными законами, а именно:

9.1.1. Для цели «Подбор тура и консультирование» — 1 (один) год с момента отправки заявки, если договор не был заключен. Если впоследствии с Пользователем заключается договор, данные, полученные на этапе подбора, переходят в цель «Регистрация, Личный кабинет, бронирование и оплата туров» и хранятся согласно срокам, установленным для этой цели.

9.1.2. Для цели «Обработка обращений и сообщений» — 6 (шесть) месяцев с момента направления Пользователю окончательного ответа, если обращение не привело к заключению договора. Если обращение повлекло заключение договора, данные переходят в цель «Регистрация, Личный кабинет, бронирование и оплата туров» и хранятся согласно ее срокам.

9.1.3. Для цели «Регистрация, Личный кабинет, бронирование и оплата» — 3 (три) года с момента прекращения договорных отношений (удаления учетной записи или последнего бронирования). Финансовые документы (включая сведения о платежах) хранятся 5 (пять) лет.

9.1.4. Для цели «Рекламные рассылки» — до момента отзыва согласия.

9.1.5. Для цели «Аналитика (Яндекс.Метрика)» — до отзыва согласия, но не более 26 месяцев с момента сбора (стандартный срок хранения сервиса). Оператор самостоятельно сырые логи не хранит.

9.2. Когда установленные сроки истекают или отпадает необходимость в обработке, Оператор уничтожает ПДн. Электронные данные стираются методами гарантированного удаления (перезапись, низкоуровневое форматирование) с использованием лицензионного ПО, бумажные носители (при наличии) – механическим измельчением с составлением акта.

10. ПРАВА СУБЪЕКТОВ ПДН И ПОРЯДОК ИХ РЕАЛИЗАЦИИ

10.1. Каждый Пользователь (субъект ПДн) обладает набором прав, которые позволяют ему контролировать, что происходит с его данными.

10.2. Что именно вправе сделать Пользователь:

10.2.1. Отозвать согласие. Если обработка велась на основании согласия, его можно в любой момент отменить. Это не повлияет на правомерность обработки, которая уже была выполнена до отзыва, но прекратит ее на будущее;

10.2.2. Узнать, что происходит с его данными. Пользователь может запросить подтверждение факта обработки, узнать ее цели, основания, перечень обрабатываемых ПДн, сроки хранения и кому данные передавались;

10.2.3. Потребовать уточнения, блокировки или удаления. Если данные неполные, устарели, неточные или были получены незаконно, Пользователь вправе попросить привести их в порядок, временно заблокировать обработку или полностью уничтожить сведения;

10.2.4. Обжаловать действия Оператора. При нарушении прав можно обратиться в Роскомнадзор или в суд.

10.3. Обязанность Пользователя: предоставлять достоверную информацию и своевременно сообщать об изменениях (например, нового номера телефона или адреса электронной почты).

10.4. Любой запрос, касающийся ПДн (в том числе отзыв согласия), направляется на электронную почту Оператора. Чтобы Оператор мог точно идентифицировать обратившегося, в письме необходимо указать:
• фамилию, имя, отчество (при наличии);
• контактный e-mail;
• суть требования (с пометкой «Отзыв согласия на обработку ПДн», «Удаление заявки» и т.п.).
При необходимости Оператор вправе запросить копию документа, удостоверяющего личность.

10.5. Оператор отвечает на запрос в течение 10 рабочих дней. В сложных случаях этот срок может быть продлен, но не более чем на 5 рабочих дней, о чем Пользователь будет уведомлен дополнительно.

11. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА

11.1. Оператор имеет право:

11.1.1. Получать от Пользователя достоверные ПДн и обрабатывать их строго в рамках, заданных настоящей Политикой;

11.1.2. Если Пользователь отзывает согласие, но у Оператора остается другое законное основание для обработки (например, необходимость хранить документы по требованию закона или исполнять договор), – продолжать обработку на этом основании;

11.1.3. Поручать обработку третьим лицам, перечисленным в разделе «Передача ПДн третьим лицам», при условии, что с ними заключены соглашения, обязывающие соблюдать конфиденциальность и требования законодательства;

11.1.4. Самостоятельно определять, какие именно правовые, организационные и технические меры необходимы для надежной защиты ПДн, и внедрять их.

11.2. Оператор обязан:

11.2.1. Сделать Политику общедоступной, разместив ее на Сайте;

11.2.2. Организовать обработку ПДн в полном соответствии с российским законодательством;

11.2.3. По запросу Пользователя бесплатно предоставлять информацию о том, как и зачем обрабатываются его данные;

11.2.4. Использовать полученные ПДн исключительно для тех целей, которые объявлены в Политике;

11.2.5. Рассматривать и разрешать обращения Пользователей и их законных представителей в порядке и сроки, установленные законом;

11.2.6. Принимать все разумные меры для защиты ПДн от несанкционированного доступа, изменения, раскрытия или уничтожения;

11.2.7. Если цели обработки достигнуты или согласие отозвано – прекратить обработку и уничтожить ПДн в установленных случаях;

11.2.8. В установленные сроки отвечать на запросы Роскомнадзора и других уполномоченных органов, а при инцидентах, связанных с утечкой данных, немедленно уведомлять об этом надзорные органы (в течение 24 часов с момента обнаружения).

12. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПДН

12.1. Оператор обрабатывает ПДн Пользователей исключительно для тех целей, которые прямо перечислены в настоящей Политике. Никаких скрытых или неожиданных целей нет.

12.2. Обрабатываются только те данные, которые действительно необходимы для конкретной цели (принцип минимизации). Содержание и объем данных всегда строго соответствуют поставленной задаче.

12.3. Оператор следит, чтобы информация о Пользователе оставалась точной и полной. Если Пользователь заметил ошибку – достаточно сообщить об этом, и Оператор оперативно обновит или удалит неверную информацию.

12.4. Оператор хранит ПДн только до тех пор, пока они реально нужны для цели обработки. Как только цель достигнута или Пользователь отозвал согласие – данные удаляются или обезличиваются (с учетом требований закона о сроках хранения документов, например, для налогового учета).

12.5. Все ПДн, получаемые через Сайт, записываются, систематизируются и хранятся в базах данных, размещенных на серверах на территории Российской Федерации. Сервисы, которым данные передаются, также обеспечивают хранение и обработку на территории РФ.

12.6. Обработка включает полный цикл действий: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Оператор использует как автоматизированные, так и неавтоматизированные (ручные) способы обработки, когда это необходимо.

13. БЛОКИРОВАНИЕ, УТОЧНЕНИЕ И УНИЧТОЖЕНИЕ ПДН ПРИ ВЫЯВЛЕНИИ НЕТОЧНОСТЕЙ ИЛИ НАРУШЕНИЙ

13.1. Субъект ПДн вправе направить запрос на уточнение своих ПДн при обнаружении неточностей. Запрос направляется на электронную почту Оператора с пометкой «Актуализация ПДн».

13.2. При поступлении обращения или требования уполномоченного органа о неправомерности обработки Оператор блокирует спорные ПДн с момента получения обращения на время проверки. При обнаружении неточностей Оператор вправе заблокировать данные до завершения уточнения, если это не нарушает права субъекта или третьих лиц.

13.3. Оператор проводит проверку и вносит изменения в течение 7 рабочих дней с момента получения подтверждающих документов. После уточнения блокировка снимается.

14. ПРЕКРАЩЕНИЕ ОБРАБОТКИ ПДН

14.1. Обработка прекращается, а ПДн уничтожаются в срок, не превышающий 30 календарных дней, в случаях:
• отзыва согласия (для целей, основанных на согласии);
• достижения цели обработки;
• истечения срока хранения.

14.2. При выявлении незаконной обработки Оператор незамедлительно прекращает ее и уничтожает данные в срок не более 10 рабочих дней.

15. ПЕРЕДАЧА ПДН ТРЕТЬИМ ЛИЦАМ

15.1. Оператор может передавать ПДн Пользователя третьим лицам исключительно для достижения целей, указанных в Политике, и только при условии, что эти лица гарантируют конфиденциальность и безопасность данных. С каждым таким лицом заключается договор (поручение), обязывающий соблюдать требования законодательства.

15.2. ПДн могут передаваться следующим категориям третьих лиц:

15.2.1. Туроператорам, с которыми Пользователь в итоге заключает договор:
• ООО «Спутник-Гермес-Тревел» (ОГРН 1156313038133, ИНН 6315004962, адрес места нахождения: 443041, Самарская обл., г. о. Самара, вн. р-н Ленинский, г. Самара, ул. Ленинская, д. 166);
• ООО «Вояж-Туристик» (ОГРН 1166313124977, ИНН 6315012603, адрес места нахождения: 443041, Самарская обл., г. о. Самара, вн. р-н Ленинский, г. Самара, ул. Ленинская, д. 166, позиция 63).
Передаются: имя, телефон, e-mail, предпочтения (для заявочных форм), а для зарегистрированных пользователей – ФИО, паспортные данные, данные о бронировании. Доступ предоставляется только тому туроператору, который определен как исполнитель конкретного тура; остальные туроператоры из перечня данные не получают.

15.2.2. Платежным системам (банку-эквайреру) – для обработки онлайн-платежей. Передаются идентификатор заказа, сумма, адрес электронной почты. Реквизиты банковских карт Оператору не передаются.

15.2.3. Яндекс.Метрике (ООО «Яндекс») – для сбора обезличенной статистики (только при наличии отдельного согласия через cookie-баннер). Передаются технические и обезличенные данные.

15.2.4. Яндекс.Картам (ООО «Яндекс») – для отображения карты. Передаются IP-адрес и данные браузера в момент загрузки виджета.

15.2.5. Государственным органам – в случаях, прямо предусмотренных законодательством РФ (по мотивированному запросу суда, правоохранительных органов, Роскомнадзора, налоговых органов и т.д.).

15.3. Передача ПДн иным лицам, не указанным в настоящем разделе, возможна только при наличии отдельного согласия субъекта или в силу закона.

16. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДН

16.1. Оператор обеспечивает защиту ПДн от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и других незаконных действий. Защита обеспечивается с помощью правовых, организационных и технических мер в соответствии со ст. 18.1 и 19 ФЗ-152, Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России № 21 и иными актами.

16.2. Организационные меры:
• разработана, размещена на Сайте и действует настоящая Политика;
• ответственным за организацию обработки ПДн является непосредственно Оператор. Сотрудники, допущенные к обработке, ознакомлены с Политикой и обязались соблюдать конфиденциальность;
• доступ к ПДн имеют только уполномоченные лица в объеме, необходимом для выполнения обязанностей;
• проводится оценка вреда, который может быть причинен субъектам ПДн; принимаемые меры соразмерны выявленному вреду;
• определены угрозы безопасности ПДн при их обработке в информационных системах;
• организован учет и хранение материальных носителей ПДн (при их наличии) в условиях, исключающих хищение, подмену, несанкционированное копирование и уничтожение.

16.3. Технические меры:
• использование лицензионного антивирусного программного обеспечения и межсетевых экранов на всех устройствах, задействованных в обработке ПДн;
• шифрование каналов связи при передаче данных (HTTPS);
• регулярное резервное копирование баз данных, содержащих ПДн, с сохранением копий на внешних защищенных носителях;
• использование надежных (стойких) паролей и двухфакторной аутентификации;
• автоматическая блокировка сеанса при бездействии;
• регулярное обновление операционных систем и прикладного программного обеспечения;
• ведение журналов событий (логов) сервера и приложений, регистрация всех операций с ПДн. Логи хранятся в течение 6 месяцев и защищены от несанкционированного доступа;
• обеспечение физической сохранности носителей ПДн: запираемые помещения/шкафы для бумажных носителей (при их наличии), ограничение физического доступа к серверному оборудованию.

17. СВЕДЕНИЯ ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПДН В СООТВЕТСТВИИ С ТРЕБОВАНИЯМИ К ЗАЩИТЕ ПДН, УСТАНОВЛЕННЫМИ ПРАВИТЕЛЬСТВОМ РФ

17.1. В соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 для обеспечения 4-го уровня защищенности ПДн в информационной системе Оператором:
• ответственным за обеспечение безопасности ПДн является сам Оператор. Локальными актами определены места хранения ПДн (серверы на территории РФ, бумажные носители – в запираемых шкафах) и перечень лиц, осуществляющих обработку (только уполномоченные сотрудники);
• определены и применяются меры по обеспечению сохранности машинных носителей (шифрование, контроль доступа, резервное копирование, физическая защита);
• доступ к ПДн имеют только уполномоченные лица. Любой внешний доступ (со стороны хостинг-провайдера или сервисов-обработчиков) осуществляется только на основании заключенных договоров поручения с обязательством соблюдать конфиденциальность.

17.2. В соответствии с Постановлением Правительства РФ от 15.09.2008 № 687 при обработке ПДн без использования средств автоматизации (ручным способом, например, при работе с бумажными документами) Оператором определены места хранения материальных носителей (при их наличии) – запираемые шкафы/сейфы. Перечень лиц, осуществляющих такую обработку, ограничен уполномоченными сотрудниками. Доступ посторонних лиц исключен.

18. ВЕДЕНИЕ ЖУРНАЛОВ СОБЫТИЙ (ЛОГИРОВАНИЕ)

18.1. Оператор фиксирует (логирует) события, происходящие на Сайте, в том числе действия, связанные с обработкой ПДн. Это необходимо для обеспечения стабильности, безопасности и улучшения работы Сайта, а также для выполнения требований законодательства.

18.2. В журналы событий могут попадать следующие данные:
• IP-адрес пользователя;
• дата и время запроса;
• тип запроса и адрес запрашиваемой страницы;
• код ответа сервера;
• информация о браузере и операционной системе (User-Agent);
• сведения о переходах по ссылкам и взаимодействии с интерфейсом Сайта.

18.3. Логи используются исключительно для:
• выявления и устранения технических неполадок;
• обнаружения и предотвращения несанкционированного доступа, атак и мошеннических действий;
• анализа работоспособности и производительности серверов;
• расследования инцидентов безопасности.

18.4. Срок хранения логов сервера и приложений составляет не более 6 (шести) месяцев с момента их создания. По истечении этого срока логи автоматически удаляются или обезличиваются. Доступ к логам имеет только ограниченный круг уполномоченных лиц.

19. ФАЙЛЫ COOKIE И ИСПОЛЬЗОВАНИЕ СЕРВИСОВ АНАЛИТИКИ

19.1. На Сайте используются следующие типы файлов cookie:
• Технически необходимые (обязательные) файлы cookie – обеспечивают базовую функциональность Сайта, включая безопасность, корректную работу форм. Использование этих файлов не требует согласия Пользователя.
• Аналитические файлы cookie – используются для сбора и обработки обобщенной статистической информации с целью повышения качества Сайта. К этой категории относится сервис Яндекс.Метрика. Для активации требуется отдельное, явное согласие Пользователя через cookie-баннер.

19.2. При первом посещении Сайта Пользователю отображается информационный баннер (cookie-баннер) с текстом: «Оператор использует cookie-файлы (включая сервис Яндекс.Метрика) для анализа посещаемости. Необязательные cookie активируются только после вашего согласия. Подробнее – в Политике обработки персональных данных».

19.3. Баннер содержит кнопки выбора: «Принять все», «Принять необходимые», «Настроить». До нажатия любой из кнопок необязательные cookie не устанавливаются и не обрабатываются.

19.4. Пользователь может в любой момент отозвать или изменить свое согласие через виджет управления cookie в футере (подвале) Сайта, а также направив запрос на email Оператора. Отключение или удаление файлов cookie через настройки браузера не считается надлежащим способом отзыва согласия у Оператора и может привести к некорректной работе Сайта.

20. ИНФОРМАЦИЯ О СЕРВИСЕ ЯНДЕКС.МЕТРИКА

20.1. Оператор информирует Пользователя о применении сервиса Яндекс. Метрика для сбора статистических данных о посещаемости Сайта, анализа поведения Пользователей и улучшения качества работы Сайта.

20.2. Информация об использовании Сайта передается Яндексу и хранится на серверах Яндекса в РФ. Правила обработки данных сервисом Яндекс.Метрика доступны по ссылке: https://yandex.ru/legal/metrica_termsofuse/ru/

20.3. Яндекс применяет технологии обезличивания (включая хэширование IP-адресов и анонимизацию идентификаторов), что исключает возможность прямой идентификации Пользователя. Политика конфиденциальности Яндекса: https://yandex.ru/legal/confidential/ru/

20.4. Срок хранения файлов cookie – 26 месяцев.

20.5. Пользователь может отозвать согласие на обработку данных Яндекс.Метрикой через виджет управления cookie или направив запрос Оператору.

20.6. В связи с архитектурой сервиса техническое выделение и удаление конкретных данных, собранных до отзыва согласия, может быть затруднено. Гарантированно все данные обезличиваются или удаляются Яндексом по истечении 26 месяцев с момента сбора. Для полного и немедленного прекращения обработки Пользователю рекомендуется самостоятельно очистить файлы cookie и данные сайта в настройках браузера.

21. ИНФОРМАЦИЯ О ВИДЖЕТЕ ЯНДЕКС.КАРТЫ

21.1. На Сайте встроен виджет Яндекс.Карты для наглядного отображения местоположения Оператора. При загрузке виджета браузер Пользователя автоматически передает серверам Яндекса технические данные: IP-адрес, тип и версию браузера, а также геолокационные данные, если Пользователь предоставил такое разрешение в браузере. Оператор не собирает и не хранит эти данные.

21.2. Обработка ПДн осуществляется в соответствии с Политикой конфиденциальности Яндекса, доступной по ссылке https://yandex.ru/legal/confidential/ru/

22. ОТВЕТСТВЕННОСТЬ СТОРОН

22.1. Оператор несет ответственность за нарушение требований законодательства РФ в области ПДн в соответствии с действующим законодательством (ст. 13.11 КоАП РФ, ст. 24 ФЗ-152, а также оборотные штрафы за утечки ПДн в соответствии с Федеральным законом от 08.08.2024 № 266-ФЗ).

22.2. Оператор не несет ответственность за утрату или разглашение конфиденциальной информации, если данная информация:
• стала публичным достоянием до ее утраты или разглашения;
• была получена от третьей стороны до момента ее получения Оператором;
• была разглашена с согласия Субъекта.

23. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

23.1. Субъект может получить любые разъяснения по вопросам обработки его ПДн, обратившись по электронному адресу Оператора cruise@sputnik-germes.ru.

23.2. Настоящая Политика является общедоступным документом. Актуальная редакция размещена на Сайте по адресу https://sputnik-germes.ru/privacy-policy/.

23.3. Оператор вправе вносить изменения в Политику в одностороннем порядке. Новая редакция вступает в силу с момента ее опубликования на Сайте, если иной срок не указан в самом документе. Пользователи обязуются самостоятельно отслеживать изменения.

23.4. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

24. РЕКВИЗИТЫ ОПЕРАТОРА

Общество с ограниченной ответственностью «Спутник-Гермес»
ОГРН: 1186313093119
ИНН: 6318040060
КПП: 631701001
Адрес места нахождения: 443041, Самарская обл., г. о. Самара, вн. р-н Ленинский, г. Самара, ул. Ленинская, д. 166, офис 75

Электронная почта для запросов: cruise@sputnik-germes.ru

Приложение № 1 к Политике обработки персональных данных

Перечень целей, сроков, способов обработки ПДн, категорий субъектов и обрабатываемых ПДн

№	Цель обработки ПДн	Правовое основание	Категории субъектов	Перечень ПДн	Способы обработки	Перечень действий с ПДн	Срок обработки и хранения	Порядок уничтожения
1	Подбор тура и консультирование (заявки, звонки)	Согласие (п. 1 ч. 1 ст. 6 ФЗ-152)	Посетители сайта	• Имя, • телефон, • e-mail (если указан), • Содержание заявки (направление, даты, количество человек, пожелания, удобное время звонка)	Смешанная	• сбор • запись • систематизация • накопление • хранение • уточнение (обновление, изменение), • извлечение • использование • передача (предоставление, доступ), • обезличивание • блокирование • удаление • уничтожение	1 год с момента отправки заявки, если договор не заключен. При заключении договора данные переходят в цель «Регистрация, Личный кабинет, бронирование и оплата» и хранятся согласно ее срокам.	Электронные — гарантированное стирание; бумажные — шредирование
2	Обработка обращений (форма «Обратная связь», визовая заявка)	Согласие (п. 1 ч. 1 ст. 6 ФЗ-152)	Посетители сайта	• Имя, • телефон, • e mail, • текст сообщения	Смешанная	• сбор • запись • систематизация • накопление • хранение • уточнение (обновление, изменение), • извлечение • использование • передача (предоставление, доступ), • обезличивание • блокирование • удаление • уничтожение	6 месяцев с момента направления окончательного ответа, если не заключен договор. При заключении договора данные переходят в цель «Регистрация, Личный кабинет, бронирование и оплата» и хранятся согласно ее срокам.	Удаление переписки без возможности восстановления
3	Регистрация, Личный кабинет, бронирование и оплата	Исполнение договора (п. 5 ч. 1 ст. 6 ФЗ-152)	Зарегистрированные пользователи (физлица, агентства)	• Физлица: логин, ФИО, телефон, e-mail, город, паспортные данные, пароль (хеш). • Агентства: реквизиты организации, телефон, e-mail, ФИО руководителя. Данные о брони и платежах. • Для передачи туроператору: имя, телефон, e-mail, предпочтения (из заявки), а для зарегистрированных — ФИО, паспортные данные, данные бронирования.	Смешанная	• сбор • запись • систематизация • накопление • хранение • уточнение (обновление, изменение), • извлечение • использование • передача (предоставление, доступ), • обезличивание • блокирование • удаление • уничтожение	3 года после прекращения отношений; финансовая документация — 5 лет	Электронные — стирание с перезаписью; бумажные — шредирование
4	Направление рекламных рассылок	Согласие субъекта ПДн (п. 1 ч. 1 ст. 6 ФЗ-152)	Подписчики	• Имя (псевдоним); • адрес электронной почты • телефон	Автоматизированная	• сбор • запись • систематизация • накопление • хранение • уточнение (обновление, изменение), • извлечение • использование • передача (предоставление, доступ), • обезличивание • блокирование • удаление • уничтожение	До отзыва согласия	Удаление из базы рассылки в течение 30 дней
5	Анализ поведения пользователей и улучшение работы Сайта (Яндекс.Метрика)	Согласие субъекта ПДн (через cookie-баннер) (п. 1 ч. 1 ст. 6 ФЗ-152)	Посетители Сайта, Пользователи (при наличии согласия)	• Технические данные (браузер, ОС, разрешение экрана); • обезличенный IP-адрес; • cookie-идентификаторы; • данные о посещении (страницы, время, клики); • геолокация (страна, город)	Автоматизированная	• сбор • запись • систематизация • накопление • хранение • уточнение (обновление, изменение), • извлечение • использование • передача (предоставление, доступ), • обезличивание • блокирование • удаление • уничтожение	До отзыва согласия, не более 26 месяцев	Автоматическое удаление/обезличивание сервисом; Оператор сырые логи не хранит