Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц, использующих сервис HotelBid.AI, размещённый в сети «Интернет» по адресу https://hotelbid.ru (далее — «Сервис»). Политика распространяется на веб-сайт Сервиса, его мобильные версии и клиентские приложения, а также на программные интерфейсы (API) Сервиса.

1.2. Политика разработана во исполнение требований части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ») и определяет политику Оператора в отношении обработки персональных данных, а также сведения о реализуемых требованиях к их защите.

1.3. Оператором персональных данных является владелец Сервиса, реквизиты которого указаны в разделе «Реквизиты и контакты» (далее — «Оператор»).

1.4. Политика применяется ко всей информации, которую Оператор получает о Пользователе во время использования им Сервиса.

1.5. Использование Сервиса означает, что Пользователь ознакомился с настоящей Политикой. Согласие на обработку персональных данных, требующих согласия, даётся Пользователем отдельно — путём проставления отметки при регистрации, оформлении заявки или бронирования.

1.6. Действующая редакция Политики постоянно доступна без регистрации и без авторизации по адресу https://hotelbid.ru/privacy/.

2. Термины и определения

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.

2.3. Пользователь — физическое лицо, использующее Сервис, в том числе зарегистрированное в качестве Гостя или действующее от имени Отеля.

2.4. Гость — Пользователь, размещающий на Сервисе заявку с предложением цены за проживание.

2.5. Отель — юридическое лицо или индивидуальный предприниматель, оказывающий услуги временного размещения и использующий Сервис для работы с заявками Гостей.

2.6. Заявка (ставка) — размещённое Гостем предложение цены за проживание в выбранном отеле на указанные даты.

2.7. Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

3. Категории персональных данных, которые обрабатывает Оператор

3.1. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.

3.2. Оператор обрабатывает следующие категории данных:

3.2.1. Регистрационные и контактные данные

• имя пользователя (логин), фамилия и имя, если они указаны;
• адрес электронной почты;
• номер телефона;
• пароль в виде необратимой криптографической свёртки (хеша); пароль в открытом виде Оператору недоступен;
• тип учётной записи («гость» или «отель»).

3.2.2. Данные профиля

• ссылка на изображение профиля (аватар);
• сведения «о себе», если Пользователь их заполнил;
• последние четыре цифры платёжной карты — исключительно для отображения способа оплаты Пользователю.

3.2.3. Данные, связанные с заявками и бронированиями

• выбранный отель, категория номера и тип тарифа;
• даты заезда и выезда, количество гостей;
• предложенная и итоговая стоимость проживания, размер скидки;
• отметка о деловом характере поездки (командировка), если она проставлена Пользователем;
• статус заявки, предложения отеля и бронирования, история их изменений;
• сведения, необходимые для оформления ваучера на размещение.

3.2.4. Данные об оплате

• идентификатор платежа и его статус, сумма и валюта, дата операции.

Полные реквизиты платёжной карты (номер, срок действия, код проверки подлинности) на Сервисе не вводятся, Оператору не передаются и им не хранятся. Приём платежей осуществляет платёжная организация на своей защищённой странице.

3.2.5. Данные учётных записей в сторонних сервисах

При входе через Google, VK ID или Яндекс ID Оператор получает от соответствующего сервиса идентификатор учётной записи, адрес электронной почты, имя и ссылку на изображение профиля — в объёме, разрешённом Пользователем при предоставлении доступа. Пароль от сторонней учётной записи Оператору не передаётся. Подробный состав и порядок использования этих данных описаны в разделе 8 настоящей Политики.

3.2.6. Технические данные

• IP-адрес, дата и время обращения, запрошенный адрес страницы;
• сведения о браузере и операционной системе (User-Agent), язык интерфейса;
• адрес страницы-источника перехода;
• идентификаторы файлов cookie и данные сессии;
• записи журналов работы Сервиса и сведения о технических ошибках.

3.2.7. Данные представителей Отелей

Фамилия, имя, должность, рабочие адрес электронной почты и телефон представителя Отеля, а также сведения об отеле (наименование, адрес, город, описание, категория, сайт, идентификаторы в партнёрских системах бронирования).

3.3. Оператор не проверяет достоверность предоставленных Пользователем данных и исходит из того, что Пользователь предоставляет достоверные и актуальные сведения и поддерживает их в актуальном состоянии.

3.4. Если Пользователь указывает данные третьих лиц (например, сведения о других гостях, размещаемых по бронированию), он подтверждает, что получил их согласие на передачу и обработку таких данных.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные в следующих целях:

• регистрация и идентификация Пользователя, предоставление доступа к личному кабинету;
• приём и обработка заявок Гостей, передача их Отелям, получение и передача встречных предложений Отелей;
• оформление, подтверждение, изменение и отмена бронирования, формирование и выдача ваучера;
• проведение расчётов, включая приём и возврат платежей;
• направление сервисных сообщений о статусе заявки, предложения, бронирования и платежа;
• обработка обращений и претензий Пользователей, оказание поддержки;
• формирование персональных ценовых рекомендаций и подбор предложений;
• обеспечение безопасности Сервиса, предотвращение мошенничества и злоупотреблений;
• формирование обезличенной статистики и улучшение работы Сервиса;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе налогового и бухгалтерского учёта;
• направление информационных и рекламных сообщений — только при наличии отдельного согласия Пользователя.

4.2. Оператор не использует персональные данные Пользователей для показа персонализированной рекламы третьих лиц, не продаёт их и не передаёт брокерам данных.

4.3. Оператор не принимает решений, порождающих юридические последствия в отношении Пользователя, исключительно на основании автоматизированной обработки его персональных данных. Ценовые рекомендации Сервиса носят информационный характер; решение о размещении заявки принимает Гость, решение о принятии заявки — Отель.

5. Правовые основания обработки

5.1. Правовыми основаниями обработки персональных данных являются:

• согласие Пользователя на обработку его персональных данных (пункт 1 части 1 статьи 6 Закона № 152-ФЗ);
• необходимость исполнения договора, стороной которого является Пользователь, а также заключения договора по его инициативе (пункт 5 части 1 статьи 6 Закона № 152-ФЗ);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (пункт 2 части 1 статьи 6 Закона № 152-ФЗ), включая Налоговый кодекс Российской Федерации и Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
• осуществление прав и законных интересов Оператора, если при этом не нарушаются права и свободы Пользователя (пункт 7 части 1 статьи 6 Закона № 152-ФЗ);
• Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей», в том числе положения о владельце агрегатора информации о товарах (услугах);
• согласие Пользователя на получение рекламных сообщений в соответствии со статьёй 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе».

5.2. Обработка персональных данных осуществляется в объёме, не избыточном по отношению к заявленным целям.

6. Способы и принципы обработки

6.1. Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без их использования, — путём сбора, записи, систематизации, накопления, хранения, уточнения, извлечения, использования, передачи, обезличивания, блокирования, удаления и уничтожения.

6.2. Оператор обрабатывает персональные данные на законной и справедливой основе, не объединяет базы данных, обработка которых ведётся в несовместимых между собой целях, и обеспечивает точность и актуальность обрабатываемых данных.

6.3. Для расчёта ценовых рекомендаций Сервис использует алгоритмические и интеллектуальные модели анализа данных, в том числе предоставляемые сторонними поставщиками. Таким поставщикам передаются обезличенные параметры размещения — город, даты, категория и тип тарифа, ценовые диапазоны и статистика спроса. Персональные данные Пользователей в составе таких запросов не передаются и не используются для обучения моделей машинного обучения.

7. Передача персональных данных третьим лицам

7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, указанных в настоящем разделе.

7.2. Персональные данные могут передаваться:

• Отелям и их представителям — в объёме, необходимом для рассмотрения заявки, подтверждения и исполнения бронирования: имя гостя, контактные данные, даты и условия размещения, количество гостей;
• партнёрским системам бронирования — при оформлении бронирования через партнёрский канал, в объёме, необходимом для его подтверждения;
• платёжным организациям — для приёма платежа и возврата денежных средств;
• поставщикам инфраструктурных и сервисных услуг (хостинг, почтовые и SMS-рассылки, техническая поддержка) — на основании договоров, содержащих обязанность соблюдать конфиденциальность и требования Закона № 152-ФЗ;
• государственным органам — по запросам, оформленным в соответствии с законодательством Российской Федерации.

7.3. Поручение обработки персональных данных третьему лицу осуществляется на основании договора с соблюдением требований статьи 6 Закона № 152-ФЗ. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, предусмотренные Законом № 152-ФЗ.

8. Данные, получаемые через Google, VK ID и Яндекс ID

8.1. Сервис позволяет зарегистрироваться и войти в учётную запись с использованием аккаунта Google, VK ID или Яндекс ID. Использование такого способа входа добровольно; учётную запись можно создать по адресу электронной почты и паролю без обращения к сторонним сервисам.

8.2. Какие данные Google получает Сервис

При входе через Google Сервис запрашивает области доступа profile и email и получает следующие данные учётной записи Google:

• уникальный идентификатор аккаунта Google;
• адрес электронной почты и признак его подтверждения;
• имя и фамилию, указанные в профиле;
• ссылку на изображение профиля (аватар);
• язык интерфейса, если он передан сервисом Google.

Сервис не запрашивает и не получает доступ к почтовым сообщениям, файлам на Google Диске, контактам, календарю, местоположению и иным данным аккаунта Google. Пароль от аккаунта Google Сервису недоступен.

8.3. Как Сервис использует данные Google

Данные, полученные из аккаунта Google, используются исключительно для:

• создания учётной записи Пользователя на Сервисе и последующего входа в неё;
• отображения имени и изображения профиля в интерфейсе личного кабинета;
• направления сервисных сообщений о заявках, предложениях, бронированиях и платежах на адрес электронной почты;
• связи учётной записи с размещёнными заявками и оформленными бронированиями;
• восстановления доступа к учётной записи и поддержки Пользователя.

Данные Google не используются для показа рекламы, не передаются рекламным сетям и брокерам данных, не продаются и не применяются для обучения моделей искусственного интеллекта или иных обобщённых моделей.

8.4. Кому передаются данные Google

Данные, полученные из аккаунта Google, не передаются третьим лицам, за исключением случаев, когда это необходимо для исполнения бронирования Пользователя (передача имени и контактных данных Отелю или партнёрской системе бронирования по конкретной заявке), для работы инфраструктуры Сервиса на основании договоров поручения обработки, либо когда передача требуется по закону.

8.5. Хранение и удаление данных Google

Данные хранятся, пока существует учётная запись Пользователя на Сервисе. Пользователь может в любой момент:

• отозвать доступ Сервиса к аккаунту Google на странице myaccount.google.com/permissions;
• отвязать сторонний аккаунт в личном кабинете, продолжив вход по адресу электронной почты и паролю;
• запросить удаление учётной записи и связанных данных в порядке раздела 15 настоящей Политики.

После удаления учётной записи данные, полученные из аккаунта Google, удаляются в срок, не превышающий 30 дней, за исключением сведений, которые Оператор обязан хранить по закону (документы о расчётах и бронированиях).

8.6. Ограниченное использование данных Google (Limited Use)

Использование Сервисом информации, полученной из интерфейсов Google API, отвечает Google API Services User Data Policy, включая требования ограниченного использования (Limited Use). Полученные данные применяются только для функций, описанных в пункте 8.3, и не используются ни для каких иных целей.

8.7. VK ID и Яндекс ID

При входе через VK ID Сервис получает идентификатор аккаунта, имя, фамилию, ссылку на изображение профиля и адрес электронной почты (область доступа email). При входе через Яндекс ID Сервис получает идентификатор аккаунта, логин, имя и адрес электронной почты. Эти данные используются в тех же целях и на тех же условиях, что описаны в пунктах 8.3–8.5.

9. Трансграничная передача

9.1. Оператор стремится обрабатывать персональные данные на территории Российской Федерации и не осуществляет трансграничную передачу персональных данных Пользователей без соблюдения требований статьи 12 Закона № 152-ФЗ.

9.2. В случае если для работы отдельных функций Сервиса потребуется передача персональных данных на территорию иностранного государства, Оператор до начала такой передачи уведомляет уполномоченный орган по защите прав субъектов персональных данных и получает согласие Пользователя, когда это требуется законом.

9.3. Передача обезличенных данных, не позволяющих определить конкретного Пользователя, трансграничной передачей персональных данных не является.

10. Место обработки и хранения данных

10.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

10.2. Серверное оборудование, на котором размещены базы данных Сервиса, находится в дата-центрах на территории Российской Федерации.

11. Сроки обработки и хранения

11.1. Персональные данные обрабатываются до достижения целей обработки, а именно:

• данные учётной записи — в течение всего срока её существования и 30 календарных дней после удаления, если иной срок не установлен законом;
• данные о заявках, бронированиях и расчётах — в течение сроков, установленных налоговым и бухгалтерским законодательством Российской Федерации (как правило, 5 лет с момента завершения операции);
• технические журналы — не более 12 месяцев;
• данные, обрабатываемые на основании согласия, — до отзыва согласия, если отсутствует иное правовое основание для их обработки.

11.2. По достижении целей обработки либо в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению или обезличиванию в срок, не превышающий 30 дней, если иное не предусмотрено законом.

12. Файлы cookie и аналогичные технологии

12.1. Сервис использует файлы cookie — небольшие текстовые файлы, сохраняемые в браузере Пользователя.

12.2. Используются следующие категории cookie:

• строго необходимые — поддержание сессии авторизованного Пользователя и защита форм от межсайтовой подделки запросов (CSRF). Без них Сервис работать не может;
• функциональные — сохранение выбранных параметров интерфейса и поиска;
• аналитические — сбор обезличенной статистики посещений, если такие инструменты подключены.

12.3. Пользователь может запретить сохранение cookie в настройках браузера или удалить сохранённые файлы. В этом случае авторизация и часть функций Сервиса станут недоступны.

13. Меры защиты персональных данных

13.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона № 152-ФЗ, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;
• определение угроз безопасности и применение мер защиты в соответствии с уровнем защищённости информационной системы;
• шифрование трафика между браузером Пользователя и Сервисом по протоколу HTTPS;
• хранение паролей исключительно в виде необратимых криптографических свёрток;
• разграничение прав доступа и учёт лиц, допущенных к персональным данным;
• резервное копирование и контроль целостности данных;
• внутренний контроль соответствия обработки требованиям Закона № 152-ФЗ.

13.2. При установлении факта неправомерной передачи персональных данных Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в сроки, установленные частью 3.1 статьи 21 Закона № 152-ФЗ.

14. Права субъекта персональных данных

14.1. Пользователь имеет право:

• получать сведения об обработке его персональных данных, предусмотренные частью 7 статьи 14 Закона № 152-ФЗ;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• возражать против обработки данных в целях продвижения услуг и отказаться от рассылок;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.

14.2. Часть данных Пользователь может изменить самостоятельно в личном кабинете.

14.3. Запрос направляется на адрес privacy@hotelbid.ai и должен содержать сведения, предусмотренные частью 3 статьи 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие в отношениях с Оператором (например, адрес электронной почты учётной записи или номер бронирования), подпись заявителя.

14.4. Оператор отвечает на запрос в срок, не превышающий 10 рабочих дней со дня его получения; срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя о причинах продления.

15. Удаление учётной записи и отзыв согласия

15.1. Чтобы удалить учётную запись и связанные с ней персональные данные, Пользователь направляет запрос с адреса электронной почты, указанного в учётной записи, на адрес privacy@hotelbid.ai с темой «Удаление учётной записи».

15.2. Оператор подтверждает получение запроса и удаляет учётную запись, данные профиля, историю заявок и данные, полученные из подключённых аккаунтов Google, VK ID и Яндекс ID, в срок, не превышающий 30 дней.

15.3. Сведения о завершённых бронированиях и расчётах сохраняются в течение сроков, установленных налоговым и бухгалтерским законодательством, после чего уничтожаются. До истечения этих сроков такие сведения не используются для обращения к Пользователю.

15.4. Согласие на обработку персональных данных отзывается направлением заявления на тот же адрес. После отзыва согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, за исключением данных, обработка которых продолжается на иных законных основаниях.

15.5. Отзыв согласия и удаление учётной записи влекут невозможность дальнейшего использования личного кабинета и подтверждённых бронирований, оформленных через Сервис.

15.6. Отказаться от рекламных рассылок можно по ссылке в письме или направив запрос на адрес info@hotelbid.ai; сервисные сообщения, связанные с исполнением договора, при этом продолжают направляться.

16. Данные несовершеннолетних

16.1. Сервис предназначен для лиц, достигших возраста, с которого они вправе самостоятельно совершать сделки в соответствии с законодательством Российской Федерации.

16.2. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. Если станет известно, что данные несовершеннолетнего получены без согласия законного представителя, такие данные будут удалены.

17. Изменение Политики

17.1. Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента её размещения по адресу https://hotelbid.ru/privacy/, если иное не предусмотрено самой редакцией.

17.2. О существенных изменениях Оператор уведомляет Пользователей по адресу электронной почты, указанному в учётной записи, либо посредством уведомления в интерфейсе Сервиса.

17.3. Продолжение использования Сервиса после вступления изменений в силу означает согласие Пользователя с новой редакцией Политики.

Связанный документ: Условия использования Сервиса.