УТВЕРЖДАЮ

ИП Винокурова Татьяна Александровна

«01» апреля 2024 г. 

редакция от 01.04.2025 г

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Термины и определения, используемые в данной Политике обработки персональных данных (далее – Политика), а именно: персональные данные (далее – ПДн), обработка /передача/ распространение / использование / блокирование / автоматизированная обработка ПДн, конфиденциальность ПДн, предоставление / уничтожение ПДн, информационная система персональных данных (далее – ИСПДн), общедоступные ПДн, информация, документированная информация, используются в значении данном в федеральном законе от 27.07.2006 № 152-ФЗ «О персональных данных».

1.2. Оператор ПДн – Винокурова Татьяна Александровна, ИНН 550521948946, ОГРНИП 321237500462798, электронная почта i@tatitours.ru, телефон +7 988 153-64-95 (далее – Оператор, ИП)

1.3. Информационный ресурс оператора ПДн в телекоммуникационной сети «Интернет» -  www.tati-tours.ru (далее – сайт)

1.4. Настоящая Политика определяет порядок обработки ПДн и меры по обеспечению безопасности ПДн оператором в целях, установленных данной политикой.

1.5. Настоящая политика является общедоступным документом, декларирующим основы деятельности ИП при обработке и защите ПДн.

1.6. Сведения о ПДн клиентов ИП относятся к числу конфиденциальных. Срок обработки данных: до достижения цели, но не более трех лет, а также в случаях, предусмотренных законами.

1.7. Запросы, претензии субъектов ПДн направляются в адрес оператора на электронную почту Оператора.    

2. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Правовыми основаниями обработки ПДн Оператором являются:
- Конституция РФ;
- Гражданский кодекс РФ;
- Федеральный закон от 27 июля 2006 года № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Федеральный закон "Об основах туристской деятельности в РФ";
- внутренних документов оператора: политика обработки персональных данных, договоры с клиентами, договоры с контрагентами.
·  Согласия субъектов персональных данных на обработку персональных данных;
- Иные основания, когда согласие на обработку персональных данных не требуется в силу закона.

2.2. Осуществляя обработку ПДн Оператор не производит проверку наличия особого режима обработки ПДн, установленного законодательством стран, к юрисдикции которого относятся отдельные получатели услуг Оператора или лица, предоставившие свои данные по форме обратной связи на сайте. Субъект ПДн, являясь резидентом государства с особым режимом защиты ПДн, например, в Европейской экономической зоне (EEA), и получивший доступ к Сайту из стран Европы, обязан уведомить Оператора о наличии такого особого режима защиты его ПДн путем обращения в адрес оператора на электронную почту.  В свою очередь, Оператор предпринимает все разумные меры для обеспечения соблюдения таких требований законодательства о защите ПДн, установленных соответствующим государством либо группой стран.

3. ЦЕЛИ, СПОСОБЫ И СРОКИ ОБРАБОТКИ ПДн

3.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
3.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
3.3. Персональные данные обрабатываются Оператором в следующих целях:
Цель №1 : подготовка, заключение и исполнение гражданско-правового договора
Перечень обрабатываемых персональных данных:
фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; семейное положение; доходы; пол; адрес электронной почты; адрес регистрации; номер телефона; гражданство; данные документа, удостоверяющего личность; данные документа, удостоверяющего личность за пределами Российской Федерации; данные документа, содержащиеся в свидетельстве о рождении; реквизиты банковской карты; должность; фото-видео изображение лица.

Категории субъектов, персональные данные которых обрабатываются: Контрагенты; Представители контрагентов; Клиенты; Выгодоприобретатели по договорам; Законные представители.

Основания обработки персональных данных: обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем. Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных,; Обработка персональных данных осуществляется на основании: - договора;- законодательства РФ: Конституция РФ, Закон "О персональных данных", Гражданский кодекс РФ, ФЗ "Об основах туристской деятельности в РФ";- внутренних документов оператора: политика обработки персональных данных, договоры с клиентами, договоры с контрагентами. Персональные данные (ФИО, месяц/год/дата рождения, пол, адрес места жительства, адрес электронной почты, номер телефона, гражданство, данные документа, удостоверяющего личность, данные документа, удостоверяющего личность за пределами РФ, данные документа, содержащиеся в свидетельстве о рождении) необходимы для заключения договора по инициативе субъекта и исполнения договора. Иные данные (доходы, семейное положение, фото лица, должность) могут обрабатываться если договором предусмотрена передача документов, содержащих указанные сведения, туроператору с целью оформления въездных виз. Иные данные (реквизиты банковской карты) могут обрабатываться при необходимости осуществления возврата денежных средств.

 Оператор осуществляет обработку ПДн следующими способами: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
 Действиями, совершаемыми с ПДн, являются: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение.

Третьи лица, которым передаются ПДн: государственные органы в случаях, установленных законодательством РФ; владельцы интернет-сервисов Яндекс.Метрика и иных; иные третьи лица, в том числе туроператоры, поставщики услуг, партнеры Оператора, передача ПДн которым необходима Оператору для целей обработки ПДн.

Цель №2: Продвижение товаров, работ, услуг на рынке

Перечень обрабатываемых персональных данных:
фамилия, имя, отчество; адрес электронной почты; номер телефона; сведения, собираемые посредством метрических программ; фото-видео изображение лица.

Категории субъектов, персональные данные которых обрабатываются: Клиенты; Посетители сайта.

Основания обработки персональных данных: обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;; Обработка персональных данных осуществляется на основании: - согласия субъекта; - законодательства РФ: Конституция РФ, Закон "О персональных данных", Гражданский кодекс РФ, ФЗ "Об основах туристской деятельности в РФ"; - внутренних документов оператора: политика обработки персональных данных, договоры с клиентами, договоры с контрагентами. Распространение персональных данных (ФИО, фото) осуществляется только в случае наличия соответствующего согласия субъекта в виде публикации отзыва такого субъекта. Отзывы могут оставлять клиенты или посетители сайта.

Оператор осуществляет обработку ПДн следующими способами: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.

 Действиями, совершаемыми с ПДн, являются: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; обезличивание; блокирование; удаление; уничтожение; распространение.

Цель №3: Соблюдение требований законодательства в сфере туризма

Перечень обрабатываемых персональных данных:
фамилия, имя, отчество; год рождения; месяц рождения; дата рождения; пол; адрес электронной почты; адрес места жительства; адрес регистрации; номер телефона; гражданство; данные документа, удостоверяющего личность; данные документа, удостоверяющего личность за пределами Российской Федерации; данные документа, содержащиеся в свидетельстве о рождении.

Категории субъектов, персональные данные которых обрабатываются: Контрагенты; Представители контрагентов; Клиенты; Выгодоприобретатели по договорам; Законные представители.

Основания обработки персональных данных: обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;; Обработка персональных данных осуществляется на основании: - законодательства РФ: Конституция РФ, Закон "О персональных данных", Гражданский кодекс РФ, ФЗ "Об основах туристской деятельности в РФ"; внутренних документов оператора: политика обработки персональных данных, договоры с клиентами, договоры с контрагентами. Перечень персональных данных, необходимых для исполнения требований законодательства в виде передачи сведения в Государственная информационная система «Электронная путевка», установлен постановлением Правительства Российской Федерации от 18 марта 2023 г. № 417 "Об утверждении Правил функционирования единой информационной системы электронных путевок".

Оператор осуществляет обработку ПДн следующими способами: смешанная; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.

 Действиями, совершаемыми с ПДн, являются: сбор; запись; систематизация; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передача (предоставление, доступ); обезличивание; блокирование; удаление; уничтожение.

3.4. Оператор не осуществляет обработку ПДн, относящихся к расовой и национальной принадлежности, политическим взглядам, религиозным и философским убеждениям, интимной жизни и сведениям о судимости, а также биометрических ПДн. Трансграничная передача персональных данных Оператором не осуществляется.
3.5. Оператор осуществляет сбор и обработку ПДн с использованием баз данных и ИСПДн, расположенных на территории Российской Федерации.
3.6. ПДн могут быть переданы уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации.
3.6. Обработка персональных данных для каждой цели обработки, указанной в п. 3.3 Политики, осуществляется путем:
- получения персональных данных в устной и письменной форме непосредственно от субъектов персональных данных;
-внесения персональных данных в журналы, реестры и информационные системы Оператора;
- внесения персональных данных в специализированные формы сбора информации;
- использования иных способов обработки персональных данных.

4. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТОВ ПДн
4.1. Субъект ПДн имеет право на получение сведений об обработке этих данных оператором.
4.2. Субъект ПДн вправе требовать от оператора уточнения его ПДн, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
4.3. Право субъекта ПДн на доступ к ним может быть ограничено в соответствии с федеральными законами, в том числе, если доступ субъекта ПДн к его данным нарушает права и законные интересы третьих лиц.
4.4. Для реализации и защиты своих прав и законных интересов субъект ПДн имеет право обратиться к оператору, который рассматривает любые обращения и жалобы со стороны субъектов ПДн, тщательно расследует факты нарушений и принимает все необходимые меры для их немедленного устранения, наказания виновных лиц и урегулирования спорных и конфликтных ситуаций в досудебном порядке.
4.5. Субъект ПДн вправе обжаловать действия или бездействие оператора путем обращения в уполномоченный орган по защите прав субъектов ПДн.
4.6. Субъект ПДн имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.
4.7. Субъект ПДн обязан предоставлять оператору только достоверные ПДн и своевременно сообщать об их изменении. Риск предоставления недостоверных ПДн несет сам субъект ПДн, в том числе в случаях, когда оператор осуществил обработку ПДн третьих лиц, которые получатель услуг оператора сообщил как свои собственные.
4.8. Заполняя соответствующие формы при наличии их на сайте, согласие на обработку ПДн считается предоставленным Субъектом посредством совершения им конклюдентных действий, а именно путем проставления специального знака – «веб-метки» в специальном поле на Сайте рядом с текстом вида: «Я даю согласие на обработку персональных данных на условиях Политики обработки персональных данных», при условии, что Субъекту в каждом месте сбора ПДн предоставлена возможность ознакомиться с полным текстом Политики.
В случае заполнения согласия в бумажном виде согласие на обработку ПДн считается предоставленным с момента собственноручной подписи и предоставлении его Оператору с подтверждением ознакомления с текстом Политики, размещенной на информационном стенде Оператора.

6. ПРАВА И ОБЯЗАННОСТИ ОПЕРАТОРА ПДн
6.1. Оператор вправе:
6.1.1. Получать от субъекта ПДн согласие на обработку его ПДн.
6.1.2. Устанавливать способы получения согласия субъектов ПДн, не нарушающие их законные права и интересы, и в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
6.1.3. Устанавливать правила обработки ПДн субъектов и вносить изменения и дополнения в настоящую Политику, самостоятельно разрабатывать и применять формы документов, необходимых для исполнения настоящей Политики.
6.1.4. Поручать обработку ПДн другому лицу с согласия субъекта ПДн(если иное не предусмотрено законодательством Российской Федерации) на основании заключаемого с этим лицом договора с учетом требований части 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
6.1.5. Осуществлять иные права, предусмотренные законодательством Российской Федерации, нормативными правовыми актами и локальными актами ИП.
6.2. Оператор обязан:
6.2.1. Получать ПДн субъектов на законных основаниях.
6.2.2. Разъяснять субъекту ПДн юридические последствия отказа предоставить их в случае, если предоставление ПДн является обязательным в соответствии с законодательством Российской Федерации.
6.2.3. Разъяснять субъекту порядок защиты субъектом ПДн своих прав и законных интересов
6.2.4. Организовать и реализовать право субъекта ПДн на доступ к ПДн в сроки, по правилам, с учетом ограничений, установленных в статьях 14 и 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
6.2.5. Взаимодействовать с субъектом ПДн и уполномоченным органом по защите прав субъектов ПДн для обработки запросов и обращений в части получения сведений об обрабатываемых ПДн, их актуализации, а также обеспечения законности обработки ПДн.
6.2.6. Принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, а также от иных неправомерных действий в отношении ПДн.
6.3. Оператор должен обеспечить:
6.3.1. Предотвращение несанкционированного доступа к ПДн.
6.3.2. Предупреждение возможности наступления неблагоприятных последствий в результате нарушения порядка доступа к ПДн.
6.3.3. Недопущение воздействия на технические средства обработки ПДн, в результате которого нарушается их функционирование.
6.3.4. Возможность незамедлительного восстановления информации, содержащей ПДн, модифицированной или уничтоженной вследствие несанкционированного доступа к ней.
6.3.5. Исполнение иных обязанностей, предусмотренных законодательством Российской Федерации и локальными нормативными актами ИП.

7. ПОРЯДОК ХРАНЕНИЯ И ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПДн

7.1. ПДн субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде. ПДн, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа. ПДн субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках. Не допускается хранение и размещение документов, содержащих ПД, в открытых электронных каталогах (файлообменниках) в ИСПДн.
7.2. Ответственным лицом за обработку ПДн и обеспечение безопасности ПДн является оператор.
7.3. В своей деятельности оператор осуществляет внутренний контроль за соблюдением им самим, его сотрудниками и контрагентами законодательства Российской Федерации о ПДн, к которым они получают доступ от оператора, в том числе требований к защите ПДн.
7.4. Оператор контролирует прием и обработку обращений и запросов субъектов ПДн.

7.5. Оператор при обработке ПДн принимает все необходимые правовые, организационные и технические меры для их защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них. Обеспечение безопасности ПДн достигается, в частности, следующими способами:
7.5.1. Принятием локальных нормативных актов и иных документов в области обработки и защиты ПДн.
7.5.2. Применением организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, в частности использование специального программного обеспечения.
7.5.3. Осуществлением внутреннего контроля и/или аудита соответствия обработки ПДн Федеральному закону от 27 июля 2006 г. № 152-ФЗ«О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, локальным актами ИП.
7.5.4. Выявлением фактов несанкционированного доступа к ПДн и принятием соответствующих мер.
7.5.5. Контролем над принимаемыми мерами по обеспечению безопасности ПДн и уровнем защищенности информационных систем ПДн.
7.5.6. Проверкой наличия в договорах, заключаемых с третьими лицами, пунктов об обеспечении конфиденциальности ПДн и включением их, при необходимости, в договор.
7.5.7. Иными мерами, предусмотренными законодательством Российской Федерации в области персональных данных.
7.6. Реализация мер по обеспечению безопасности ПДн осуществляется с помощью разработанной системы защиты, в том числе с использованием антивирусного программного обеспечения на персональном устройстве, с которого осуществляется обработка ПДн.


8. ПРЕКРАЩЕНИЕ ОБРАБОТКИ И УНИЧТОЖЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1 Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором.
8.2. При обращении Субъекта ПДн по причине выявления неточных ПДн, Оператор обязан блокировать ПДн, осуществить проверку ПДн, относящихся к этому субъекту, и в течение 7 (семи) рабочих дней со дня окончания проверки внести уточнения на основании сведений, представленных субъектом ПДн и результатов проверки.
8.3. В случае выявления неправомерной обработки ПДн Оператор в срок, не превышающий 3 (трех) рабочих дней со дня этого выявления, обязан прекратить неправомерную обработку ПДн.
Если обеспечить правомерность обработки ПДн невозможно, Оператор в срок, не более 10 (десяти) рабочих дней со дня выявления неправомерной обработки ПДн, обязан уничтожить такие данные. Об устранении допущенных нарушений или об уничтожении ПДн Оператор обязан уведомить субъекта ПДн либо его законного представителя.
8.4. В случае отзыва субъектом ПДн согласия на их обработку Оператор обязан прекратить их обработку, а также, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожить ПДн в срок, не превышающий тридцати рабочих дней со дня поступления указанного отзыва.
8.5. Условия и сроки уничтожения ПДн Оператором:
-достижение цели обработки ПДн либо утрата необходимости достигать эту цель - в течение 30 дней;
-достижение максимальных сроков хранения документов, содержащих ПДн, - в течение 30 дней;
-предоставление субъектом ПДн (его представителем) подтверждения того, что ПДн получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
- отзыв субъектом ПДн согласия на обработку его ПДн, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.
8.6. Порядок уничтожения персональных данных при достижении цели их обработки или при наступлении иных законных оснований: лицо, ответственное за обработку персональных данных, производит стирание данных методом перезаписи (замена всех единиц хранения информации на «0») с составлением акта об уничтожении персональных данных – в информационных системах; физическое уничтожение персональных данных с составлением акта об уничтожения персональных данных – на материальных носителях.

9. ПОРЯДОК УТВЕРЖДЕНИЯ И ВНЕСЕНИЯ ИЗМЕНЕНИЙ В ПОЛИТИКУ  

9.1. Политика утверждается Оператором и действует до ее отмены.

9.2. Оператор имеет право по мере необходимости в одностороннем порядке вносить изменения в Политику (далее – «Изменения»). В таком случае измененная редакция Политики публикуется в вышеуказанных информационных ресурсах в телекоммуникационной сети «Интернет» или размещается на информационном стенде Оператора указанием срока начала ее действия.

9.3. Субъекты ПДн обязуется самостоятельно отслеживать Изменения Политики.

9.4. Политика может пересматриваться по мере внесения изменений в нормативные правовые акты РФ в сфере ПДн;   в локальные акты Оператора, регламентирующие организацию обработки и обеспечение безопасности ПД;  в порядок организации Оператором обработки и обеспечения безопасности ПДн.
9.5. Недействительность отдельных норм настоящей Политики, если таковая будет признана решением суда или иного уполномоченного государственного органа, не влечет ее недействительности в целом.

10. РАЗРЕШЕНИЕ СПОРОВ
10.1. По спорам, возникающим из отношений между субъектом ПДн и Оператором обязательным является досудебный(претензионный) порядок урегулирования спора.
10.2 Срок рассмотрения претензии составляет 30 (тридцать) календарных дней со дня получения претензии.
10.3. При недостижении соглашения спор будет передан на рассмотрение в судебный орган по месту регистрации Оператора в соответствии с действующим законодательством РФ.