ПОЛОЖЕНИЕ о порядке обработки персональных данных

• лица, входящие в органы управления Корпоративного Клиента (включая, но не ограничиваясь следующей номенклатурой должностей: генеральный директор, заместитель генерального директора, исполнительный директор, председатель правления, член правления, председательсовета директоров, член совета директоров, председатель наблюдательного совета, член наблюдательного совета, управляющий, конкурсный управляющий);
• лица, являющиеся владельцами/ учредителями/ акционерами/участниками Корпоративного Клиента;
• лица, действующие от имени Корпоративного Клиента на основании доверенности.
• Частными Клиентами Общества являются физические лица (субъекты персональных данных), заключившие с Обществом письменный договор на оказание туристических услуг, а также их представители на основании закона или доверенности.
• Корпоративными Клиентами Общества являются юридические лица, которым Общество оказывает услуги в рамках деятельности Общества и на основании соответствующего договора:
• клиент — Частный Клиент и/или Корпоративный Клиент;
• обработка персональных данных — действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение персональных данных;
• конфиденциальность персональных данных — обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование недопускать их распространения без согласия субъекта персональных данных или иного законного основания;
• распространение персональных данных — действия, направленные на передачу персональных данных определенному кругу лиц или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;
• использование персональных данных — действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц, либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;
• уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных работников;
• обезличивание персональных данных — действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных;
• блокирование персональных данных — временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи;
• общедоступные персональные данные — персональные данные, доступ неограниченного круга лиц, к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

3. Состав персональных данных Частных Клиентов

3.1. Состав персональных данных Частного Клиента, обработка которых осуществляется Обществом:

• фамилия, имя, отчество;
• паспортные данные, включая номер паспорта, сведения о дате выдачи и выдавшем паспорт органе, дату рождения, место рождения, пол, адрес регистрации;
• данные паспорта или иного документа, удостоверяющего личность иностранного гражданина, включая номер, сведения о дате выдачи и выдавшем органе, срок действия, дату рождения, пол;
• данные миграционных документов Частного Клиента — иностранного гражданина или лица без гражданства: визы, миграционной карты, уведомления Федеральной миграционной службы о месте пребывания;
• адрес регистрации иностранного гражданина в стране, гражданином которой он/она является;
• адрес местонахождения (места пребывания) Частного Клиента: Ф контактная информация, включая номера телефонов, факсов, e-mail;
• занимаемая(-ые) должность(и) Частного Клиента, членство в профессиональных и иных формальных организациях;
• сведения о доходах Частного Клиента и их источниках.

3.2. Указанные в пункте 3.1. персональные данные обрабатываются в целях исполнения обязательств Общества по договорам с Частными Клиентами, а также на основании и во исполнение иных законов и подзаконных актов, регулирующих туристическую деятельность.

3.3. Обработка персональных данных Частных Клиентов производится с их письменного согласия.

4. Состав персональных данных представителей Корпоративных Клиентов

4.1. В отношении представителей Корпоративных Клиентов Общество осуществляет обработку следующих персональных данных:

• фамилия, имя, отчество;
• паспортные данные, включая номер паспорта, сведения о дате выдачи и выдавшем паспорт органе, дату рождения, место рождения, пол, адрес регистрации;
• данные паспорта или иного документа, удостоверяющего личность иностранного гражданина, включая номер, сведения о дате выдачи и выдавшем органе, срок действия, дату рождения, пол;
• данные миграционных документов иностранного гражданина или лица без гражданства: визы, миграционной карты, уведомления Федеральной миграционной службы о месте пребывания;
• адрес регистрации иностранного гражданина в стране, гражданином которой он/она является;
• адрес местонахождения (места пребывания);
• занимаемая(ые) должность(и).

4.2. Указанные в пункте 4.1. персональные данные обрабатываются в целях исполнения обязательств Общества по договорам с Корпоративными клиентами, а также на основании и во исполнение иных законов и подзаконных актов, регулирующих туристическую деятельность.

5. Конфиденциальность персональных данных

5.1. Сведения, перечисленные в статьях 3 и 4 настоящего Положения, являются конфиденциальными. Общество обеспечивает конфиденциальность персональных данных, и обязано недопускать их распространения без согласия клиентов, либо наличия иного законного основания.

5.2. Все меры конфиденциальности при сборе, обработке и хранении персональных данных клиентов распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.

6. Права и обязанности Общества как оператора персональных данных

6.1. Обработка персональных данных Частных Клиентов и представителей Корпоративных Клиентов осуществляется Обществом с согласия субъектов персональных данных, за исключением случаев, предусмотренных пунктом 6.2. настоящего Положения. Обязанность представить доказательство получения согласия на обработку персональных данных по основаниям данного пункта, в соответствии с законом, возлагается на Общество.

6.2. Общество имеет право без согласия субъекта персональных данных осуществлять обработку его персональных данных в следующих случаях:

• обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
• обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
• обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
• обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно.

6.3. В целях обеспечения прав и свобод человека и гражданина, Общество и его работники при обработке персональных данных Клиента обязаны соблюдать следующие общие требования:

• при определении объема и содержания персональных данных Частного Клиента, подлежащих обработке, Общество должно руководствоваться Федеральным законом «О персональных данных», законодательством, регулирующим туристическую деятельность, договорными обязательствами, взятыми на себя сторонами по договору между Частным Клиентом и Обществом. Общество получает персональные данные Частного Клиента только в объеме, необходимом для достижения целей надлежащего исполнения договора с Частным Клиентом и соблюдения применимого к Обществу законодательства;

• Общество не должно обрабатывать не являющиеся общедоступными персональные данные Частного Клиента или представителя Корпоративного Клиента о его судимости, политических, религиозных и иных убеждениях и частной жизни;
• Общество не должно запрашивать информацию о состоянии здоровья Частного Клиента или представителя Корпоративного Клиента, если таковые данные не являются условием участия Частного Клиента или представителя Корпоративного Клиента в мероприятии и не регламентируются дополнительными соглашениями и согласиями Клиента.

6.4. Общество должно обеспечить защиту персональных данных Частного Клиента, представителя Корпоративного Клиента от неправомерного их использования или утраты за собственный счет в порядке, установленном федеральным законодательством.

6.5. В случае, если Общество на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке.

6.6. Общество может осуществлять трансграничную передачу персональных данных на территории иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Трансграничная передача персональных данных на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, может осуществляться в случае наличия согласия в письменной форме субъекта персональных данных.

7. Права субъекта персональных данных

7.1. Субъект персональных данных имеет право на получение сведений об операторе, о месте его нахождения, о наличии у Общества персональных данных, относящихся к соответствующему субъекту персональных данных, а также на ознакомление с такими персональными данными. Субъект персональных данных вправе требовать от Общества уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

7.2. Сведения о наличии персональных данных должны быть предоставлены субъекту персональных данных Обществом в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных.

7.3. Доступ к своим персональным данным предоставляется субъекту персональных данных или его законному представителю Обществом при обращении либо при получении запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его законного представителя, сведения о дате выдачи указанного документа и выдавшем его органе собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в электронной форме и подписан электронной цифровой подписью в соответствии с законодательством Российской Федерации.

7.4. Субъект персональных данных имеет право на получение при обращении или при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

• подтверждение факта обработки персональных данных Обществом, а также цель такой обработки;
• способы обработки персональных данных, применяемые Обществом;
• сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
• перечень обрабатываемых персональных данных и источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

7.5. Субъект персональных данных имеет право отозвать согласие на обработку персональных данных, ограничить способы и формы обработки персональных данных, запретить распространение персональных данных без его согласия. Уточнения персональных данных, их блокирования или уничтожения в случае, если данные являются не полными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, либо в случае желания Субъекта отозвать свое согласие на обработку персональных данных, он должен направить официальный запрос Обществу по адресу info@d-camp.ru c соответствующей просьбой. Данное действие не подразумевает отзыв согласия на обработку его персональных данных..

7.6. Субъект персональных данных вправе обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

7.7. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

8. Порядок получения персональных данных Обществом

8.1. Общество получает персональные данные Частного Клиента:

• непосредственно от субъекта персональных данных — Частного Клиента, в связи с заключением с Частным Клиентом письменного договора, содержащих письменное согласие на обработку персональных данных;
• от законного представителя Частного Клиента (субъекта персональных данных). Если персональные данные Частного Клиента получены Обществом от третьего лица, Общество до начала обработки этих персональных данных предоставляет Частному Клиенту письменную информацию о своём наименовании и адресе, правовом основании и цели обработки Обществом персональных данных Частного Клиента, о предполагаемых пользователях персональных данных и установленных Федеральным законом «О персональных данных» правах Частного Клиента.

8.2. Общество получает персональные данные представителя Корпоративного Клиента:

• от представителя Корпоративного Клиента (субъекта персональных данных);
• от иных представителей Корпоративного Клиента — только на основании федерального закона или только общедоступные персональные данные.

9. Обработка персональных данных

9.1. Обработка персональных данных, указанных в статьях 3 и 4, осуществляется Обществом исключительно для достижения целей, определенных письменным договором между Частным или Корпоративным Клиентом и Обществом, и исполнения действующего законодательства.

9.2. Обработка персональных данных, указанных в статьях 3 и 4. Обществом заключается в получении, систематизации, накоплении, хранении, уточнении (обновлении, изменении), использовании, распространении, обезличивании, блокировании, уничтожении и в защите отнесанкционированного доступа.

9.3. Обработка персональных данных, указанных в статьях 3 и 4, ведется методом смешанной (в том числе автоматизированной) обработки.

9.4. К обработке персональных данных Клиента могут иметь доступ только работники Общества, допущенные к работе с досье Частных Клиентов и Корпоративных Клиентов, а также занимающиеся обработкой поручений указанных клиентов.

9.5. В случае соответствующего обращения субъекта персональных данных, Общество обязано произвести необходимые изменения, уничтожить или блокировать соответствующие персональные данные по предоставлении субъектом персональных данных или его законным представителем сведений, подтверждающих, что персональные данные, которые относятся к соответствующему субъекту и обработку которых осуществляет Общество, являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки. О внесенных изменениях и предпринятых мерах Общество обязано уведомить субъекта персональных данных или его законного представителя и третьих лиц, которым персональные данные этого субъекта были переданы.

9.6. Общество уничтожает персональные данные Частного Клиента или представителей Корпоративного Клиента в следующие сроки:

• в течение трёх рабочих дней со дня выявления неправомерных действий с персональными данными;
• хранящиеся на электронных носителях - в течение трех рабочих дней со дня окончания срока хранения, установленного законом, срока исковой давности по договору с клиентом;
• хранящиеся на бумажных носителях и не отнесенные к разряду первичных бухгалтерских документов или иных документов, подлежащих хранению по законодательству Российской Федерации - в течение трех рабочих дней со дня окончания срока исковой давности по договору с клиентом;
• хранящиеся на бумажных носителях и отнесенные к разряду первичных бухгалтерских документов либо документов, подлежащих хранению по законодательству Российской Федерации, в течение трех рабочих дней со дня окончания срока их хранения, установленного нормами законодательства Российской Федерации.

10. Передача персональных данных

10.1. Передача персональных данных, указанных в статьях 3 и 4, осуществляется Обществом исключительно для достижения целей, определенных письменными договорами между клиентом и Обществом.

10.2. Передача персональных данных, указанных в статьях 3 и 4, третьим лицам осуществляется Обществом только на основании соответствующего договора, существенным условием которого является обязанность обеспечения третьим лицом конфиденциальности персональных данных безопасности персональных данных при их обработке. Данное положение не распространяется в случае обезличивания персональных данных и в отношении общедоступных персональных данных.

10.3. Передача персональных данных третьим лицам осуществляется с использованием внутренней сети Общества, по каналам связи с использованием необходимых средств защиты и на бумажных носителях.

10.4. Общество осуществляет трансграничную передачу персональных данных, указанных в статьях 3 и 4, в том числе на территории иностранных государств, не обеспечивающих адекватной защиты прав субъектов персональных данных, только в целях исполнения договора с клиентом, при наличии соответствующего письменного согласия субъекта персональных данных.

10.5. Передача персональных данных государственным органам осуществляется в рамках их полномочий в соответствии с применимым законодательством.

11. Хранение персональных данных

11.1 Персональные данные, указанные в статьях 3 и 4, могут храниться, как на бумажных носителях, так и в электронном виде.

11.2. Персональные данные, указанные в статьях 3 и 4, могут вноситься Обществом или клиентами в следующие группы документов:

• письменные договоры с клиентами;
• расчётные (платёжные) документы клиентов;
• заявления, распоряжения, иные письменные поручения клиентов;
• письменные претензии клиентов по качеству предоставленных услуг;
• письменные документы (судебные иски, возражения на иски, решения судебных инстанций и т.п.), связанные сведением судебного делопроизводства поискам Клиента против Общества или Общества против Клиента;
• корреспонденция с клиентами по прочим вопросам.

11.3. Персональные данные на бумажных носителях, если с них не снят на законном основании режим конфиденциальности, хранятся в специально отведенных шкафах, запирающихся на ключ. Ключи от железных шкафов хранятся лично у сотрудников Общества, допущенных к обработке персональных данных Частных Клиентов, представителей Корпоративных Клиентов -и/или у руководителя соответствующего подразделения Общества.

11.4. Персональные данные, указанные в статьях 3 и 4, также хранятся в электронном виде во внутренней сети Общества, с доступом для работников, допущенных к обработке персональных данных Частных Клиентов, представителей Корпоративных Клиентов.

12. Доступ к персональным данным Клиента

12.1. Право доступа к персональным данным Частных Клиентов Общества имеют:

• Генеральный директор Общества;
• Заместители генерального директора Общества по направлениям;
• сотрудники Общества, осуществляющие непосредственную работу с Частными Клиентами, включающие, в том числе операции по оформлению билетов (виз), проживанию в гостиницах:
• работники операционных подразделений Общества, в объеме, необходимом для исполнения их трудовых обязанностей;
• сотрудники, осуществляющие в Обществе бухгалтерский учёт и участвующие в подготовке отчётности, согласно требованиям действующего законодательства, в объеме, необходимом для исполнения их трудовых обязанностей;
• другие работники Общества при условии оформления временного допуска, согласно Приложению 1 к настоящему Положению за подписью генерального директора Общества.

12.2. Право доступа к персональным данным представителей Корпоративных Клиентов имеют:

• Генеральный директор Общества;
• Заместители генерального директора Общества по направлениям;
• сотрудники Общества, осуществляющие непосредственную работу с представителями Корпоративных Клиентов, включающие, в том числе операции по оформлению билетов (виз), проживанию в гостиницах;
• работники операционных подразделений Общества, в объеме, необходимом для исполнения их трудовых обязанностей;
• сотрудники, осуществляющие в Обществе бухгалтерский учёт и участвующие в подготовке отчётности, согласно требованиям действующего законодательства, в объеме, необходимом для исполнения их трудовых обязанностей;
• другие работники Общества при условии оформления временного допуска, согласно Приложению 1 к настоящему Положению за подписью генерального директора Общества. 12.3. Доступ субъекта персональных данных к своим персональным данным предоставляется при личном обращении либо при получении письменного запроса. Общество обязано сообщить субъекту персональных данных информацию о наличии персональных данных о нем, а также предоставить возможность ознакомления с ними в течение десяти рабочих дней с момента обращения.

12.4.При передаче персональных данных Общество должно соблюдать следующие требования:

• не сообщать персональные данные, указанные в статьях 3 и 4, третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, установленных федеральным законом;
• не сообщать персональные данные, указанные в статьях 3 и 4, в коммерческих целях без письменного согласия субъекта персональных данных;
• предупредить лиц, получающих персональные данные, указанные в статьях 3 и 4. о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждения того, что это правило соблюдено;
• разрешать доступ к персональным данным, указанным в статьях 3 и 4, только специально уполномоченным лицам. Эти лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций.

13. Защита персональных данных Частных Клиентов и представителей Корпоративных Клиентов

13.1. Защите подлежит следующая информация о клиентах, если с неё на законном основании не снят режим конфиденциальности:

• документы, содержащие персональные данные Частного Клиента или представителей Корпоративного Клиента;
• информация, содержащая персональные данные Частного Клиента или представителей Корпоративного Клиента, размещенная на электронных носителях.

13.2. Общество обязано при обработке персональных данных Частных Клиентов и представителей Корпоративных Клиентов принимать необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

13.3. Общую организацию защиты персональных данных Частных Клиентов и представителей Корпоративных Клиентов осуществляют руководители соответствующих подразделений, в которых осуществляется их обработка.

13.4. Защита персональных данных Частных Клиентов и представителей Корпоративных Клиентов, хранящихся в электронных базах данных Общества, от несанкционированного доступа, искажения и уничтожения информации, а также от иных неправомерных действий, обеспечивается работниками соответствующих подразделений Отдела информационных технологий при координации эксперта и курирующего заместителя генерального директора Общества.

13.5. Доступ к персональным данным Частных Клиентов и представителей Корпоративных Клиентов имеют сотрудники Общества, которым персональные данные необходимы в связи с исполнением ими трудовых обязанностей.

13.6. Сотрудник Общества, имеющий доступ к персональным данным Частных Клиентов или представителей Корпоративных Клиентов в связи с исполнением трудовых обязанностей:

• обеспечивает хранение информации, содержащей персональные данные Частных Клиентов или представителей Корпоративных Клиентов, исключающее доступ к ним третьих лиц;
• в отсутствие сотрудника на его рабочем месте не должно быть документов, содержащих персональные данные Частных Клиентов или представителей Корпоративных Клиентов;
• при уходе в отпуск, во время служебной командировки и иных случаях длительного отсутствия сотрудника на своем рабочем месте, он обязан передать документы и иные носители, содержащие персональные данные Частных Клиентов или представителей Корпоративных Клиентов лицу, на которое локальным актом Общества (приказом, распоряжением) будет возложено исполнение его трудовых обязанностей. В случае если такое лицо не назначено, указанные выше документы и иные носители, передаются другому сотруднику, имеющему доступ к персональным данным Частных Клиентов и представителей Корпоративных Клиентов;