1. Общие положения
1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Оператором при использовании сайта tvoyaul.ru и его поддоменов вида «аул».tvoyaul.ru (далее — Сайт, Платформа «АУЛ»).
1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в его исполнение подзаконными актами.
1.3. Политика распространяется на все персональные данные, обрабатываемые Оператором как с использованием средств автоматизации, так и без их использования.
1.4. Термины используются в значениях, определённых статьёй 3 Федерального закона № 152-ФЗ. Дополнительно: «Гость» — физическое лицо, обращающееся через Сайт по поводу проживания; «Хозяин» — владелец гостевого дома или лицо, управляющее им, разместившее информацию об объекте на Платформе; «Куратор» — лицо, привлечённое Оператором для проверки объектов и сопровождения Хозяев.
1.5. Действующая редакция Политики постоянно доступна по адресу https://tvoyaul.ru/politika-personalnyh-dannyh.
2. Оператор персональных данных
2.1. Оператор: Гаджиев Джапар Маратович, ИНН 054503485103, плательщик налога на профессиональный доход (самозанятый).
2.2. Адрес электронной почты для обращений субъектов персональных данных и юридически значимых сообщений: contact@tvoyaul.ru. Стороны признают за сообщениями, направленными по этому адресу, силу юридически значимых сообщений в смысле статьи 165.1 Гражданского кодекса Российской Федерации.
2.3. Ответственным за организацию обработки персональных данных является Гаджиев Джапар Маратович.
3. Категории субъектов и состав обрабатываемых персональных данных
3.1. Гости, оставляющие заявку на бронирование: имя; номер телефона (в том числе используемый в мессенджере WhatsApp); адрес электронной почты, если он указан; предполагаемые даты заезда и выезда; количество гостей; количество детей; содержание комментария к заявке; отметка о потребности в трансфере; промокод, если он введён; история обращений и бронирований по объекту. Гости, оставляющие заявку на впечатление: имя, телефон, email при указании, дата/время, число участников, комментарий и параметры заявки.
3.2. Хозяева: фамилия, имя, отчество; номер телефона; адрес электронной почты; сведения об объекте размещения и его фотографии; налоговый статус плательщика (физическое лицо, самозанятый, индивидуальный предприниматель, юридическое лицо); сведения о выбранном тарифе, счетах и произведённых платежах; данные учётной записи в Личном кабинете; при подключении уведомлений о бронированиях в мессенджере Telegram — идентификатор чата и имя пользователя в Telegram.
3.3. Кураторы и лица, которым Хозяин предоставил доступ к Личному кабинету (администраторы, помощники, персонал по уборке): фамилия, имя, отчество; контактные данные; роль и объём предоставленного доступа.
3.4. Все посетители Сайта: IP-адрес; сведения о браузере и устройстве (заголовок User-Agent); дата, время и содержание обращений к Сайту; файлы cookie; данные системы веб-аналитики — только при наличии согласия, предоставленного в порядке раздела 8 настоящей Политики.
3.5. При акцепте Хозяином публичной оферты дополнительно фиксируются: дата и время акцепта, IP-адрес, заголовок User-Agent, а также версия и контрольная сумма (SHA-256) принятой редакции документа.
3.6. Оператор не обрабатывает специальные категории персональных данных (статья 10 Федерального закона № 152-ФЗ) и биометрические персональные данные (статья 11).
3.7. В отношении несовершеннолетних Оператор обрабатывает исключительно их количество в составе группы гостей. Сведения, позволяющие идентифицировать несовершеннолетнего, не собираются.
3.8. Оператор не получает и не хранит реквизиты банковских карт. Они вводятся Хозяином на стороне платёжного сервиса и Оператору не передаются.
3.9. Поставщики услуг и их представители, заполняющие анкету поставщика: имя, телефон, адрес электронной почты, сведения об услугах, условия их оказания, фотографии и сведения об авторе фотографий.
4. Цели обработки и правовые основания
4.1. Приём и обработка заявок на бронирование и впечатления, передача заявки Хозяину выбранного объекта или поставщику выбранной услуги, обратная связь по заявке. Основание: согласие субъекта (пункт 1 части 1 статьи 6) и исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6).
4.2. Заключение и исполнение договора с Хозяином на условиях публичной оферты, ведение Личного кабинета, расчёты и выставление счетов. Основание: пункт 5 части 1 статьи 6.
4.3. Информационное размещение объекта на Платформе и его продвижение. Основание: договор с Хозяином; в части публикации сведений в открытом доступе — отдельное согласие на распространение (раздел 7).
4.4. Обеспечение работоспособности и безопасности Сайта, выявление и устранение сбоев, защита от неправомерных действий. Основание: осуществление прав и законных интересов Оператора (пункт 7 части 1 статьи 6).
4.5. Формирование обезличенной статистики посещаемости и улучшение Сайта. Основание: согласие субъекта, предоставляемое отдельно в порядке раздела 8.
4.6. Исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе налоговым. Основание: пункт 2 части 1 статьи 6.
4.7. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных (статья 16).
4.8. Обработка персональных данных в целях продвижения товаров, работ и услуг на рынке, а также направление рекламных сообщений осуществляются только при наличии отдельного предварительного согласия субъекта (часть 1 статьи 15 Федерального закона № 152-ФЗ, часть 1 статьи 18 Федерального закона «О рекламе»). Такое согласие может быть отозвано в любой момент.
4.9. Рассмотрение анкеты поставщика, публикация сведений об услугах на Платформе с согласия поставщика, связь с поставщиком, предоставление доступа к личному кабинету поставщика. Основание: согласие субъекта и исполнение договора (пункты 1 и 5 части 1 статьи 6).
5. Порядок и условия обработки
5.1. Обработка осуществляется смешанным способом: с использованием средств автоматизации и без их использования. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
5.2. Обработка начинается с момента получения персональных данных и прекращается по достижении целей обработки, по отзыву согласия, по истечении срока хранения либо по требованию субъекта в случаях, предусмотренных законом.
5.3. Оператор обрабатывает только те персональные данные, которые необходимы для заявленных целей, и не допускает их обработки, несовместимой с этими целями.
5.4. Трансграничная передача персональных данных. По общему правилу Оператор не осуществляет трансграничную передачу персональных данных. Исключения: а) направление Гостю сервисных оповещений в мессенджер WhatsApp (Meta Platforms, Inc., США), которое осуществляется исключительно при наличии отдельного явного согласия Гостя (отметка в форме бронирования или запроса). В адрес сервиса WhatsApp для передачи сообщения направляются только номер телефона получателя, имя (без фамилии), название объекта или услуги, даты и защищённая ссылка; адрес электронной почты, комментарии и финансовые реквизиты не передаются. Гость вправе в любой момент отозвать согласие на получение уведомлений в WhatsApp, отправив слово «стоп» в ответ на сообщение АУЛ в WhatsApp либо воспользовавшись ссылкой отказа («Не присылать в WhatsApp») на странице поездки или статуса заявки. б) передача заявки Хозяину через мессенджеры. Если Хозяин подключил получение уведомлений о бронированиях в мессенджере Telegram (Telegram FZ-LLC, Объединённые Арабские Эмираты) и (или) WhatsApp (Meta Platforms, Inc., Соединённые Штаты Америки), Оператор в целях, указанных в пункте 4.1, направляет через выбранный Хозяином мессенджер уведомление о новой заявке, содержащее имя (и фамилию, если она указана) Гостя, номер телефона, адрес электронной почты (если он указан), даты заезда и выезда, количество гостей и детей, наименование номера и стоимость проживания. Комментарии Гостя и финансовые реквизиты не передаются. Основание — согласие Гостя на обработку персональных данных (пункт 1 части 1 статьи 6 и статья 12 Федерального закона № 152-ФЗ). Передача начинается после направления Оператором уведомления о намерении осуществлять трансграничную передачу персональных данных в уполномоченный орган по защите прав субъектов персональных данных (статья 12 Федерального закона № 152-ФЗ); до этого уведомления о заявках направляются в мессенджеры без персональных данных Гостя. Обработка данных операторами мессенджеров регулируется их собственными условиями.
5.5. Переход Гостя по ссылке в мессенджер WhatsApp для связи с Хозяином совершается по собственной инициативе Гостя. Передача сведений в мессенджер производится самим Гостем и регулируется условиями соответствующего сервиса; Оператор такую передачу не осуществляет.
5.6. При включении поставщиком услуги уведомлений в мессенджере WhatsApp на указанный им номер направляются короткие служебные оповещения о новых заявках на впечатления без персональных данных гостей (без имени и номера телефона гостя). Полные сведения о заявке доступны только в защищённом кабинете партнёра. Такие оповещения направляются исключительно при наличии отдельного согласия поставщика и могут быть отключены им в любой момент в кабинете партнёра.
6. Хранение баз данных на территории Российской Федерации
6.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ).
6.2. Серверная инфраструктура Платформы, включая базу данных, файловое хранилище, почтовые очереди и систему учёта технических ошибок, размещена в центрах обработки данных ООО «Селектел» на территории Российской Федерации.
7. Передача персональных данных и лица, привлекаемые к обработке
7.1. Персональные данные Гостя, необходимые для рассмотрения заявки (имя, контактные данные, параметры обращения), передаются Хозяину выбранного объекта либо поставщику выбранной услуги. С момента получения этих данных Хозяин или поставщик услуги обрабатывает их самостоятельно и является в отношении них самостоятельным оператором, отвечающим за соблюдение требований Федерального закона № 152-ФЗ.
7.2. К обработке по поручению Оператора (часть 3 статьи 6) привлекаются: ООО «Селектел» — предоставление вычислительных мощностей и хранение данных; ООО «ВК» — доставка электронной почты (VK WorkSpace / Почта Mail.ru); ООО «ЯНДЕКС» — при наличии согласия, сбор статистики посещаемости (Яндекс Метрика); сервис приёма платежей ЮKassa — проведение расчётов по счетам Хозяев. Каждое из этих лиц обязано соблюдать конфиденциальность и требования к безопасности персональных данных.
7.3. Приём заявок от потенциальных Хозяев может осуществляться через сервис «Яндекс Формы». Переход к форме совершается пользователем после отдельного подтверждения согласия; обработка данных в сервисе регулируется в том числе документами его владельца.
7.4. Имя Хозяина, наименование объекта размещения и его фотографии публикуются на Платформе в открытом доступе. Такая публикация является распространением персональных данных и осуществляется на основании отдельного согласия Хозяина, предоставляемого в порядке статьи 10.1 Федерального закона № 152-ФЗ.
7.5. Отзывы гостей, подтвердивших проживание, публикуются на Платформе в открытом доступе. Публикация имени гостя и города осуществляется только при наличии отдельного согласия гостя на распространение персональных данных (ст. 10.1 Федерального закона № 152-ФЗ). При отсутствии такого согласия либо при его последующем отзыве отзыв публикуется или сохраняется в открытом доступе в обезличенном виде («Гость, {Месяц} {Год}»). При предоставлении согласия фиксируются дата и время, версия политики, идентификатор браузера и цифровой отпечаток текста согласия.
7.6. Регламентное обслуживание и операционная очистка данных (housekeeping): Оператор в автоматическом режиме осуществляет очистку временных идентификаторов и ссылок доступа к формам отзывов по истечении срока их действия либо после отправки уведомлений, обезличивание персональных данных при отзыве согласия на распространение, а также удаление устаревших данных невостребованных приглашений.
7.7. Субъект персональных данных вправе в любое время потребовать прекращения публикации своих персональных данных, направив требование на contact@tvoyaul.ru. Требование исполняется в срок не более 3 (трёх) рабочих дней с момента его получения (часть 12 статьи 10.1).
7.8. Персональные данные могут быть предоставлены государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.
7.9. Оператор не продаёт персональные данные и не передаёт их третьим лицам в целях, не указанных в настоящей Политике.
9. Сроки хранения и уничтожение
9.1. Данные заявок на бронирование и впечатления и связанные с ними сведения о госте хранятся в течение 3 (трёх) лет с даты последнего взаимодействия — в пределах общего срока исковой давности (статья 196 Гражданского кодекса Российской Федерации).
9.2. Данные Хозяев и сведения, связанные с исполнением договора, хранятся в течение срока действия договора и 3 (трёх) лет после его прекращения. Документы, связанные с расчётами и налогообложением, хранятся 4 (четыре) года (подпункт 8 пункта 1 статьи 23 Налогового кодекса Российской Федерации).
9.3. Записи об акцепте публичной оферты хранятся в течение срока действия договора и 3 (трёх) лет после его прекращения как доказательство факта и условий его заключения.
9.4. Технические журналы сервера и записи об ошибках хранятся не более 12 (двенадцати) месяцев.
9.5. Данные, обрабатываемые на основании согласия, хранятся до достижения цели обработки или до отзыва согласия — в зависимости от того, что наступит раньше.
9.6. По достижении цели обработки, а равно в случае отзыва согласия или получения требования субъекта, персональные данные уничтожаются или обезличиваются в срок, не превышающий 30 (тридцати) дней, если иной срок не установлен законом либо если сохранение данных не требуется для исполнения обязанностей Оператора, предусмотренных законодательством.
9.7. Факт уничтожения персональных данных подтверждается актом в порядке, установленном уполномоченным органом.
9.8. Данные анкеты поставщика, которая не была одобрена, хранятся 1 (один) год с даты решения; данные одобренного поставщика — в течение срока сотрудничества и 3 (трёх) лет после его окончания.
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.
10.2. Применяемые меры включают: назначение ответственного за организацию обработки персональных данных; публикацию настоящей Политики; ограничение круга лиц, имеющих доступ к данным, и разграничение прав доступа на уровне базы данных; передачу данных между браузером пользователя и сервером исключительно по защищённому протоколу TLS; парольную защиту и раздельные учётные записи; ведение журнала действий, изменяющих данные; регулярное резервное копирование с хранением копий на территории Российской Федерации; учёт и разбор инцидентов.
10.3. Доступ Хозяина к данным ограничен объектами, в отношении которых он является владельцем или уполномоченным лицом. Доступ Куратора ограничен объектами, переданными ему на сопровождение.
11. Права субъекта персональных данных
11.1. Субъект вправе: получать сведения, касающиеся обработки его персональных данных, предусмотренные частью 7 статьи 14 Федерального закона № 152-ФЗ; требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели; отозвать согласие на обработку; обжаловать действия Оператора в уполномоченном органе по защите прав субъектов персональных данных или в суде.
11.2. Обращение направляется на адрес contact@tvoyaul.ru и должно содержать сведения, позволяющие идентифицировать заявителя и подтвердить его отношение к запрашиваемым данным: фамилию, имя, отчество и номер телефона либо адрес электронной почты, указанные при обращении на Сайте, а также существо требования.
11.3. Ответ на обращение направляется в срок, не превышающий 10 (десяти) рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя о причинах продления (часть 2 статьи 20).
11.4. В предоставлении сведений может быть отказано по основаниям, установленным частью 8 статьи 14 Федерального закона № 152-ФЗ. Отказ является мотивированным.
11.5. Отзыв согласия не влечёт прекращения обработки данных, которая осуществляется на ином законном основании, в том числе для исполнения договора или обязанностей, предусмотренных законом.
12. Заключительные положения
12.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации на Сайте, если иное не предусмотрено самой редакцией.
12.2. Каждая редакция имеет номер версии и дату, указанные в заголовке документа.
12.3. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.