Политика конфиденциальности

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика конфиденциальности (далее — Политика) определяет цели, правовые основания, условия и порядок обработки персональных данных компанией SENSATION ASIA CO., LTD. (далее — Компания), меры по их защите, а также права субъектов персональных данных и порядок их осуществления.

1.2. Политика является документом, определяющим политику оператора в отношении обработки персональных данных, в смысле ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), и уведомлением о конфиденциальности в смысле ст. 23 Закона о защите персональных данных B.E. 2562 (2019) Королевства Таиланд (Personal Data Protection Act, «PDPA»). Политика не является договором и не содержит согласия на обработку персональных данных. Согласия оформляются отдельными документами, указанными в п. 1.8.

1.3. Компания применяет:

PDPA ко всей обработке персональных данных независимо от места обработки;
152-ФЗ к обработке персональных данных граждан Российской Федерации, осуществляемой на основании договора с ними или их согласия, и к иной обработке, на которую распространяется действие 152-ФЗ (ч. 1.1 ст. 1 152-ФЗ);
иное законодательство о персональных данных, если оно подлежит применению к конкретной обработке.

1.4. Если требования 152-ФЗ и PDPA к одной и той же обработке различаются, Компания соблюдает оба требования. При рассмотрении обращений субъектов применяется более короткий из установленных сроков.

1.5. Политика распространяется на персональные данные, которые Компания получает:

через Сайт, включая формы бронирования, заявок, вопросов и отзывов;
через Официальные каналы связи;
при заключении и исполнении договоров и оказании Услуг, включая обработку без использования средств автоматизации;
от Заказчиков, Подрядчиков, Партнёров-организаторов и Платёжных партнёров.

1.6. Политика не распространяется на сайты, приложения и сервисы третьих лиц, включая платёжные страницы Платёжных партнёров, мессенджеры и социальные сети, даже если переход к ним осуществляется с Сайта.

1.7. Политика утверждена Компанией и опубликована на Сайте. Ссылка на Политику размещается на каждой странице Сайта, на которой осуществляется сбор персональных данных.

1.8. Связанные документы:

Политика использования файлов cookie (далее — Политика cookie), являющаяся приложением к Политике;
Согласие на обработку персональных данных;
Согласие на получение информационных и рекламных сообщений (далее — Согласие на рассылку);
Согласие на использование изображения и распространение персональных данных (далее — Согласие на распространение).

1.9. В Политике используются следующие термины:

персональные данные (ПД) — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту ПД);
обработка ПД — любое действие или совокупность действий с ПД, совершаемых с использованием средств автоматизации или без них;
оператор — лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку ПД и определяет её цели, состав ПД и действия с ними; в PDPA оператору соответствует контролёр (data controller);
обработчик — лицо, осуществляющее обработку ПД по поручению Компании; в PDPA ему соответствует data processor;
предоставление ПД — раскрытие ПД определённому лицу или определённому кругу лиц;
распространение ПД — раскрытие ПД неопределённому кругу лиц;
трансграничная передача ПД — передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу;
блокирование ПД — временное прекращение обработки ПД, за исключением случаев, когда обработка необходима для их уточнения;
уничтожение ПД — действия, в результате которых становится невозможным восстановить содержание ПД и (или) уничтожаются их материальные носители;
обезличивание ПД — действия, в результате которых без использования дополнительной информации невозможно определить принадлежность ПД конкретному субъекту;
cookie — файлы cookie и аналогичные технологии, описанные в Политике cookie;
несовершеннолетний — лицо, не достигшее 18 лет, а если право, применимое к его дееспособности, устанавливает более высокий возраст совершеннолетия, лицо, не достигшее такого возраста.

1.10. Термины «Сайт», «Пользователь», «Заказчик», «Участник», «Услуги», «Услуги Партнёров», «Подрядчик», «Партнёр-организатор», «Заявка», «Подтверждение», «Бронирование», «Платёжный партнёр», «Официальные каналы связи» и «Время Бангкока» используются в значении, установленном Пользовательским соглашением. В частности:

Сайт — https://thai-crown.com, все его страницы и поддомены;
Пользователь — любое лицо, использующее Сайт;
Заказчик — лицо, оформившее Заявку и (или) оплатившее Услуги для себя и (или) Участников;
Участник — каждое лицо, включая Заказчика и детей, которому оказывается Услуга по Бронированию;
Подрядчик — третье лицо, привлекаемое Компанией для оказания части Услуг Компании: перевозчик, владелец или экипаж судна, гид, ресторан, парк, аттракцион, отель;
Партнёр-организатор — третье лицо, которое самостоятельно организует и оказывает Услугу Партнёра;
Платёжный партнёр — привлечённое Компанией третье лицо, через которое Заказчик вносит оплату в российских рублях;
Официальные каналы связи — электронная почта info@thai-crown.com, телефоны +66 62 847 8379 и +7 964 543 8110 (в том числе WhatsApp), Telegram @thaicrown, иные мессенджеры и формы, указанные в разделе «Контакты» Сайта;
Время Бангкока — UTC+7.

2. СВЕДЕНИЯ ОБ ОПЕРАТОРЕ

2.1. Оператором (контролёром) ПД является SENSATION ASIA CO., LTD., общество с ограниченной ответственностью, учреждённое по праву Королевства Таиланд, регистрационный номер 0205565044900. Адрес: 555/23 Moo 5, Na Kluea Sub-district, Bang Lamung District, Chonburi 20150, Kingdom of Thailand (555/23, Му 5, подрайон Наклуа, район Бангламунг, провинция Чонбури, 20150, Королевство Таиланд). Компания имеет действующую туристическую лицензию № 14/04720 (Inbound), предлагает Услуги под коммерческим обозначением Thai Crown, является владельцем и администратором Сайта.

2.2. Обращения по вопросам обработки ПД направляются по электронной почте на адрес info@thai-crown.com с темой «Персональные данные» или почтой по адресу Компании, указанному в п. 2.1.

2.3. Компания назначила лицо, ответственное за организацию обработки ПД. Связь с ним осуществляется по адресам, указанным в п. 2.2.

2.4. Обращения, относящиеся к компетенции инспектора по защите персональных данных (Data Protection Officer) в смысле PDPA, направляются по тем же адресам и рассматриваются лицом, ответственным за организацию обработки ПД.

3. ПРИНЦИПЫ ОБРАБОТКИ

3.1. Компания обрабатывает ПД с соблюдением следующих принципов:

законность и справедливость: обработка осуществляется открыто для субъекта и только при наличии правового основания, указанного в разделе 5;
ограничение целью: ПД собираются для конкретных, заранее определённых целей и не обрабатываются способом, несовместимым с ними; базы данных, созданные для несовместимых целей, не объединяются;
минимизация: обрабатываются только ПД, необходимые для заявленной цели; получателям передаётся минимально необходимый объём ПД;
точность: Компания принимает меры по уточнению неполных и неточных ПД, а при необходимости по их удалению;
ограничение хранения: ПД хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки или закон;
конфиденциальность и безопасность: доступ к ПД предоставляется только лицам, которым он необходим для исполнения обязанностей; ПД защищаются мерами, указанными в разделе 14;
прозрачность: субъект получает сведения об обработке до сбора ПД или в момент их сбора;
подотчётность: Компания документирует обработку и подтверждает соблюдение настоящих принципов.

4. КАТЕГОРИИ СУБЪЕКТОВ ПД

4.1. Компания обрабатывает ПД следующих категорий субъектов:

Пользователи;
Заказчики и лица, направившие Заявку или вопрос до заключения договора;
Участники, включая несовершеннолетних (раздел 7);
плательщики: лица, вносящие оплату за Заказчика;
заявители: лица, обращающиеся в Компанию с вопросами, претензиями и требованиями, включая обращения по вопросам ПД;
авторы отзывов и комментариев;
подписчики: лица, давшие Согласие на рассылку;
представители контрагентов: работники и представители Подрядчиков, Партнёров-организаторов, Платёжных партнёров и иных контрагентов, а также контрагенты, являющиеся физическими лицами.

5. ЦЕЛИ, ПРАВОВЫЕ ОСНОВАНИЯ, ПЕРЕЧЕНЬ ДАННЫХ И СРОКИ

5.1. Компания обрабатывает ПД только в целях, указанных в таблице п. 5.2. Для каждой цели в таблице определены категории субъектов, перечень ПД, правовые основания по 152-ФЗ и PDPA, сроки обработки и хранения. Для всех целей:

из специальных категорий ПД обрабатываются только сведения о состоянии здоровья в Цели 10 и в случае, указанном в п. 6.4;
обработка осуществляется смешанным способом, в Целях 5 и 6 только автоматизированным; действия с ПД указаны в разделе 8;
по истечении срока обработки ПД уничтожаются или обезличиваются в порядке, установленном разделом 12.

5.2. Цели обработки ПД:

Если таблица не помещается на экране, прокрутите её в сторону.

Цель обработки	Субъекты	Перечень ПД	Правовые основания	Срок обработки и хранения
Цель 1. Рассмотрение Заявок и вопросов, подбор Услуг, заключение и исполнение договора: бронирование, организация Услуг и трансферов, направление Подтверждений и ваучеров, информирование об изменениях, связь в день Услуги, оказание Услуг фото- и видеосъёмки	Заказчики; лица, направившие Заявку или вопрос; Участники	фамилия, имя; номер телефона; имя пользователя или номер в мессенджере; адрес электронной почты; место проживания в Таиланде: отель, кондоминиум или вилла, номер комнаты; адрес подачи транспорта; даты и параметры Бронирования; число Участников, их возрастные категории и возраст детей; фамилии и имена Участников, если это требуется для Услуги; номер рейса, время прилёта и вылета, имя для таблички, сведения о багаже; пожелания и комментарии; история Бронирований и переписки; сведения о принятии документов и даче согласий: дата, время, IP-адрес, редакция документа, состояние отметок, номер заказа; паспортные данные и (или) копия страницы паспорта в случаях, указанных в п. 5.3.1; изображение Участников при оказании Услуг фото- и видеосъёмки	152-ФЗ: п. 5 ч. 1 ст. 6 (исполнение договора, стороной которого является Заказчик, а выгодоприобретателями являются Участники; заключение договора по инициативе субъекта); согласие субъекта (п. 1 ч. 1 и ч. 3 ст. 6) в части поручения обработки обработчикам и обработки ПД несовершеннолетних Участников. PDPA: ст. 24(3) в отношении Заказчика; ст. 24(5) в отношении иных Участников (исполнение договора, заключённого в их интересах); ст. 19 и 20 в отношении ПД несовершеннолетних (согласие законного представителя)	В течение срока исполнения договора и 3 лет после его исполнения или прекращения, если более длительный срок не установлен законом. По Заявкам и вопросам, не завершившимся Бронированием: 6 месяцев с даты последнего обращения. Паспортные данные и копии страниц паспорта: не более 30 дней после оказания Услуги, если они не требуются для урегулирования спора (Цель 4) или по закону (Цель 3). Материалы фото- и видеосъёмки: 6 месяцев после их передачи Заказчику
Цель 2. Расчёты по Бронированиям и возвраты; бухгалтерский и налоговый учёт	Заказчики; плательщики	фамилия, имя Заказчика; имя плательщика, если оно передаётся Платёжным партнёром; номер Бронирования; сумма, валюта, дата и способ оплаты, включая оплату наличными на месте; номер (идентификатор) операции; сведения о возвратах; реквизиты для возврата, если возврат производится иным способом, чем оплата	152-ФЗ: п. 5 ч. 1 ст. 6; п. 7 ч. 1 ст. 6 (законный интерес Компании в исполнении обязанностей по законодательству Таиланда о бухгалтерском учёте и налогах). PDPA: ст. 24(3); ст. 24(6) (обязанность, установленная законом)	В течение срока, установленного законодательством Таиланда о бухгалтерском учёте и налогах: 5 лет с окончания отчётного периода, к которому относится операция, или более длительного срока, если он установлен законом или требованием уполномоченного органа
Цель 3. Обеспечение безопасности Участников и выполнение требований уполномоченных органов: списки пассажиров судов, регистрация иностранцев при размещении, требования национальных парков, полиции и иных органов; действия в экстренных ситуациях	Участники, включая Заказчиков	фамилия и имя, как они указаны в паспорте; гражданство; дата рождения или возраст; паспортные данные в объёме, требуемом органом или Подрядчиком; номер телефона; место проживания; контакт для связи в экстренной ситуации, если он сообщён; сведения о происшествии и принятых мерах; сведения о состоянии здоровья в случае, указанном в п. 6.4	152-ФЗ: п. 5 ч. 1 ст. 6; п. 6 ч. 1 ст. 6 (защита жизни и здоровья, если получение согласия невозможно); п. 7 ч. 1 ст. 6 (законный интерес Компании в выполнении требований законодательства Таиланда); п. 3 ч. 2 ст. 10 для сведений о состоянии здоровья. PDPA: ст. 24(3); ст. 24(6); ст. 24(2) (защита жизни и здоровья); ст. 26(1) для сведений о состоянии здоровья	В течение срока, установленного законом или требованием уполномоченного органа; при отсутствии такого срока в течение сроков, указанных для Цели 1. Сведения о происшествиях хранятся в течение сроков, указанных для Цели 4
Цель 4. Рассмотрение обращений, претензий и требований о возврате; урегулирование споров, включая споры об оспаривании платежей; защита прав и законных интересов Компании; предотвращение мошенничества и злоупотреблений	Заказчики; Участники; плательщики; заявители; Пользователи при выявлении злоупотреблений	фамилия, имя; контактные данные; содержание обращения и приложенные материалы; сведения о Бронировании и его исполнении: отметки исполнителей, журнал связи, фото- и видеофиксация состояния имущества; переписка; сведения о платежах и возвратах; сведения о принятии документов, даче и отзыве согласий; IP-адрес и сведения об устройстве при расследовании злоупотреблений	152-ФЗ: п. 5 и 7 ч. 1 ст. 6. PDPA: ст. 24(3) и 24(5)	До окончательного урегулирования обращения или спора и 3 лет после этого. Сведения о даче и отзыве согласий: 3 года после прекращения действия согласия
Цель 5. Обеспечение работы и безопасности Сайта: защита от атак, фильтрация трафика, ведение технических журналов	Пользователи	IP-адрес; сведения о браузере и устройстве; дата и время запросов; адреса запрашиваемых страниц; данные строго необходимых cookie	152-ФЗ: п. 7 ч. 1 ст. 6 (законный интерес Компании в обеспечении безопасности Сайта). PDPA: ст. 24(5)	Сроки, установленные Политикой cookie; технические журналы хранятся не более 12 месяцев
Цель 6. Статистика посещаемости и улучшение Сайта	Пользователи, давшие согласие в баннере cookie	тип устройства и браузера; платформа; размер экрана; язык; часовой пояс; страница перехода; UTM-метки; просмотренные страницы; IP-адрес, используемый сервисом статистики для обработки запроса	Согласие Пользователя, выраженное в баннере cookie: 152-ФЗ, п. 1 ч. 1 ст. 6; PDPA, ст. 19	Сроки, установленные Политикой cookie, но не дольше чем до отзыва согласия. Результаты используются только в агрегированном виде
Цель 7. Направление информационных и рекламных сообщений об Услугах, акциях и специальных предложениях; опросы о качестве Услуг	Подписчики	имя; номер телефона; адрес электронной почты; имя пользователя в мессенджере; сведения о Бронированиях и интересах к направлениям и видам Услуг; сведения о даче и отзыве согласия	Согласие на рассылку: 152-ФЗ, п. 1 ч. 1 ст. 6 и ст. 15; ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»; PDPA, ст. 19	До отзыва Согласия на рассылку или прекращения рассылок Компанией
Цель 8. Публикация отзывов и комментариев на Сайте	Авторы отзывов и комментариев	Отзывы, направленные Компании: имя, первая буква фамилии или фамилия, город в объёме, выбранном автором; текст отзыва и оценка; приложенные фото- и видеоматериалы; контактные данные и номер Бронирования для проверки отзыва, без публикации. Комментарии: имя или псевдоним, изображение профиля, текст комментария. Отзывы с внешних площадок: имя или имя и первая буква фамилии в том виде, в каком их опубликовал автор; текст; оценка; источник	Отзывы, направленные Компании: Согласие на распространение (152-ФЗ, п. 1 ч. 1 ст. 6 и ст. 10.1; ст. 152.1 Гражданского кодекса РФ в части изображения; PDPA, ст. 19); для контактных данных Согласие на обработку персональных данных. Комментарии: 152-ФЗ, п. 5 ч. 1 ст. 6 (размещение по инициативе Пользователя на условиях Пользовательского соглашения); PDPA, ст. 24(3). Отзывы с внешних площадок: 152-ФЗ, п. 7 ч. 1 ст. 6; PDPA, ст. 24(5)	До отзыва согласия, удаления отзыва или комментария либо получения требования автора о прекращении публикации (п. 5.3.5). Контактные данные автора отзыва хранятся в составе сведений о согласии (Цель 4)
Цель 9. Фото- и видеосъёмка в ходе Услуг и использование изображений в материалах Компании на Сайте и в её официальных аккаунтах	Участники, давшие Согласие на распространение; в отношении несовершеннолетних согласие дают их законные представители	фото- и видеоизображение; голос в видеозаписях; имя, если субъект разрешил его указание	Согласие на распространение: ст. 152.1 Гражданского кодекса РФ; 152-ФЗ, п. 1 ч. 1 ст. 6 и ст. 10.1; PDPA, ст. 19 и 20	До отзыва согласия. Распространение прекращается не позднее 3 рабочих дней с даты получения требования субъекта
Цель 10. Рассмотрение требований о возврате или переносе в связи с болезнью Участника	Заказчики; Участники	фамилия, имя; номер Бронирования; сведения из медицинского документа в объёме, необходимом для подтверждения невозможности участия; диагноз может быть скрыт	152-ФЗ: п. 6 ч. 2 ст. 10 (установление и осуществление прав субъекта ПД). PDPA: ст. 26(4) (установление, осуществление или защита правовых требований)	При удовлетворении требования: до исполнения решения и 30 дней после этого. В иных случаях: до принятия решения и 3 лет после него. Затем медицинский документ уничтожается; Компания сохраняет только отметку о его представлении
Цель 11. Заключение и исполнение договоров с Подрядчиками, Партнёрами-организаторами, Платёжными партнёрами и иными контрагентами	Представители контрагентов; контрагенты, являющиеся физическими лицами	фамилия, имя, должность; контактные данные; сведения о полномочиях; переписка; для контрагентов, являющихся физическими лицами, также номер лицензии, если она требуется по закону, банковские реквизиты и сведения о расчётах	152-ФЗ: п. 5 и 7 ч. 1 ст. 6. PDPA: ст. 24(3), 24(5) и 24(6)	В течение срока действия договора и 3 лет после его прекращения; учётные документы хранятся в течение срока, указанного для Цели 2

5.3. Особенности отдельных целей:

5.3.1. Компания запрашивает паспортные данные и (или) копию страницы паспорта с фотографией только для Услуг, при оказании которых их требует Подрядчик, отель, Партнёр-организатор или уполномоченный орган, если это указано на странице Услуги и (или) в Подтверждении. К таким Услугам относятся, в частности, аренда гидроциклов, морские поездки со списками пассажиров, многодневные программы с размещением в отелях и поездки за пределы Таиланда. Эти данные передаются только соответствующему получателю и не используются Компанией в иных целях.

5.3.2. Оплата в российских рублях производится на стороне Платёжного партнёра. Компания не получает и не хранит реквизиты банковских карт плательщика. От Платёжного партнёра Компания получает сведения об успешности операции, её сумме, дате и номере, а также имя плательщика, если Платёжный партнёр его передаёт.

5.3.3. Компания фиксирует дату и время по Времени Бангкока, IP-адрес, редакцию принятых документов и состояние отметок в формах Сайта, хранит переписку в Официальных каналах связи и отметки исполнителей о ходе оказания Услуг. Эти сведения используются для подтверждения заключения договора и дачи согласий, исполнения обязательств и рассмотрения претензий (Цели 1 и 4).

5.3.4. Изображения Участников используются в материалах Компании только на основании Согласия на распространение (Цель 9). Материалы съёмки по заказу Заказчика и снимки, передаваемые Участникам по их просьбе, обрабатываются для исполнения договора (Цель 1) и без Согласия на распространение не публикуются. Участник вправе в любой момент попросить представителя Компании или фотографа не снимать его или его ребёнка для материалов Компании.

5.3.5. Отзывы и комментарии публикуются в следующем порядке:

отзыв, направленный Компании через форму на Сайте или Официальные каналы связи, публикуется в объёме, выбранном автором в Согласии на распространение; контактные данные и номер Бронирования не публикуются;
комментарии Пользователь размещает самостоятельно через сервис Cackle под выбранным им именем или псевдонимом; комментарии доступны всем посетителям Сайта; Компания вправе удалять комментарии, содержащие ПД третьих лиц;
отзывы, опубликованные авторами на сторонних площадках, могут воспроизводиться на Сайте со ссылкой на источник; из сведений об авторе указывается только имя или имя и первая буква фамилии в том виде, в каком автор опубликовал их на площадке-источнике; изображение автора не воспроизводится;
по требованию автора, направленному в порядке, установленном разделом 13, Компания прекращает публикацию отзыва или комментария на Сайте не позднее 3 рабочих дней с даты получения требования.

5.3.6. Сообщения о Заявке, Бронировании, оплате, изменении или отмене Услуги, ваучеры и напоминания о месте и времени сбора не являются рекламой. Они направляются для исполнения договора (Цель 1) без Согласия на рассылку.

5.3.7. Документ медицинского учреждения, подтверждающий болезнь Участника, Заказчик представляет по своему усмотрению и только для реализации права на возврат или перенос (Цель 10); диагноз может быть скрыт. Доступ к документу имеют только лица, рассматривающие требование. Документ хранится отдельно от иных ПД. Подрядчику или Партнёру-организатору он передаётся только при необходимости возврата уплаченных им средств и без сведений о диагнозе.

5.4. Обязательность предоставления ПД:

5.4.1. ПД, отмеченные в формах как обязательные, и ПД, без которых невозможно оказание конкретной Услуги, включая паспортные данные в случаях, указанных в п. 5.3.1, необходимы для заключения и исполнения договора. Согласие на обработку персональных данных необходимо для оформления Заявки через Сайт и Официальные каналы связи, поскольку обработка осуществляется с участием обработчиков (Приложение 1). Без этих ПД или согласия Компания не может принять Заявку или оказать соответствующую Услугу.

5.4.2. ПД, предоставление которых требуется законом или уполномоченными органами (Цель 3), предоставляются в силу закона. При отказе в их предоставлении Участник может быть не допущен к соответствующей Услуге.

5.4.3. Предоставление иных ПД, дача Согласия на рассылку, Согласия на распространение и согласия на использование необязательных cookie являются добровольными. Отказ от них не влияет на возможность оформить Бронирование.

5.5. Компания получает ПД:

непосредственно от субъекта;
от Заказчика: сведения об Участниках (раздел 11);
от Платёжных партнёров: сведения об операциях;
от Подрядчиков и Партнёров-организаторов: сведения об исполнении Услуг и о происшествиях;
из общедоступных источников: отзывы, опубликованные авторами на сторонних площадках;
автоматически при использовании Сайта: технические данные (Цели 5 и 6).

5.6. Компания не обрабатывает ПД в целях, не указанных в Политике. Обработка в новой цели начинается после внесения изменений в Политику и, если этого требует закон, получения согласия субъекта.

6. СПЕЦИАЛЬНЫЕ КАТЕГОРИИ ПД И БИОМЕТРИЯ

6.1. Компания не запрашивает сведения о состоянии здоровья, расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни и судимости, за исключением случаев, указанных в Цели 10 и п. 6.4. Компания просит не указывать такие сведения в формах, комментариях и сообщениях.

6.2. Особенности питания указываются без медицинских или религиозных причин, например: «без морепродуктов», «вегетарианское меню». Сведения, которые Участник сообщает на месте гиду, капитану судна или иному представителю Компании либо Подрядчика для обеспечения своей безопасности, используются только для этой цели и в базы данных Компании не вносятся.

6.3. Анкеты о состоянии здоровья, которые Подрядчик требует для отдельных Услуг, например для дайвинга, Участник заполняет непосредственно у Подрядчика. Подрядчик обрабатывает их как самостоятельный оператор. Компания такие анкеты не запрашивает и не хранит.

6.4. В экстренной ситуации (несчастный случай, внезапное ухудшение здоровья), если получить согласие Участника невозможно, Компания вправе сообщить медицинским учреждениям, спасательным службам, страховщику, законному представителю Участника или указанному им контактному лицу сведения о состоянии здоровья Участника, необходимые для оказания помощи. Основание: п. 3 ч. 2 ст. 10 152-ФЗ; ст. 26(1) PDPA.

6.5. Верификация плательщика, которую может проводить Платёжный партнёр (проверка документа, удостоверяющего личность, биометрическая проверка), является самостоятельной обработкой ПД Платёжным партнёром как оператором по его собственным документам. Компания такие данные не получает и не хранит.

6.6. Компания не обрабатывает биометрические ПД. Изображения Участников в материалах Компании и копии страниц паспортов не используются Компанией для установления личности.

7. ДЕТИ

7.1. Бронирование оформляют только совершеннолетние Заказчики. Компания сознательно не собирает ПД непосредственно у несовершеннолетних.

7.2. ПД несовершеннолетних Участников обрабатываются только с согласия их законного представителя, которое даётся в составе Согласия на обработку персональных данных. К таким ПД относятся имя и возраст, а если это требуется для Услуги, также фамилия и паспортные данные. Лицо, предоставляющее ПД несовершеннолетнего, подтверждает, что является его законным представителем или действует с согласия законного представителя.

7.3. Изображения несовершеннолетних используются в материалах Компании только на основании Согласия на распространение, данного законным представителем. Имя и фамилия несовершеннолетнего не публикуются.

7.4. Если Компании станет известно, что ПД несовершеннолетнего получены без согласия законного представителя, Компания прекращает их обработку и уничтожает их в сроки, установленные разделом 12, за исключением обработки, необходимой для защиты жизни и здоровья несовершеннолетнего.

7.5. Права несовершеннолетнего как субъекта ПД осуществляет его законный представитель.

8. ДЕЙСТВИЯ С ПД И СПОСОБЫ ОБРАБОТКИ

8.1. Компания совершает с ПД следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Распространение ПД осуществляется только в Целях 8 и 9 на условиях, указанных для них в разделе 5.

8.2. Обработка осуществляется смешанным способом: с использованием средств автоматизации, включая передачу по сети Интернет, и без их использования, включая ведение списков Участников, ваучеров и отметок исполнителей на бумажных носителях.

8.3. Компания не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки ПД.

9. МЕСТО ОБРАБОТКИ, ЛОКАЛИЗАЦИЯ И ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА

9.1. При сборе ПД граждан Российской Федерации, включая сбор через формы Сайта, их запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Эти базы данных размещены на серверах конструктора Сайта (Tilda), сервиса защиты Сайта (DDoS-Guard) и сервиса электронной почты (Beget), расположенных на территории Российской Федерации. Сведения, полученные по телефону, по электронной почте и через мессенджеры, Компания вносит в базу данных на территории Российской Федерации. Мессенджеры используются как средство связи и базами данных Компании не являются. Компания применяет этот порядок ко всем ПД, собираемым через Сайт и Официальные каналы связи, независимо от гражданства субъекта.

9.2. После записи в базы данных на территории Российской Федерации ПД передаются за её пределы, включая предоставление доступа, в объёме, необходимом для соответствующей цели:

в Королевство Таиланд: Компании и её персоналу для всех целей, указанных в разделе 5; Подрядчикам, Партнёрам-организаторам, отелям, страховщикам, профессиональным консультантам и уполномоченным органам Таиланда;
в государства, на территории которых оказываются Услуги Партнёров за пределами Таиланда, например в Королевство Камбоджа: Партнёрам-организаторам и уполномоченным органам при бронировании таких Услуг;
в государства места нахождения Платёжных партнёров: в объёме, необходимом для идентификации платежа;
в Соединённые Штаты Америки: IP-адрес и сведения о браузере при загрузке шрифтов и технических файлов Сайта;
в государства места нахождения операторов мессенджеров и социальных сетей: при выборе Пользователем соответствующего канала связи, а также при публикации материалов в официальных аккаунтах Компании на основании Согласия на распространение;
в государства места нахождения иных поставщиков сервисов, указанных в Приложении 1.

9.3. Королевство Таиланд включено в перечень иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД, утверждённый Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее — Роскомнадзор). Трансграничная передача ПД в иные государства осуществляется в порядке и на условиях, установленных ст. 12 152-ФЗ. Компания уведомляет Роскомнадзор о трансграничной передаче ПД и получает от получателей сведения о принимаемых ими мерах защиты ПД в случаях и порядке, установленных 152-ФЗ.

9.4. Передача ПД за пределы Королевства Таиланд, включая передачу в Российскую Федерацию на серверы обработчиков, осуществляется на основании ст. 28 PDPA, если она необходима для исполнения договора с субъектом или договора, заключённого в его интересах, либо для защиты жизни и здоровья, а также на основании согласия субъекта, данного после информирования о возможном уровне защиты ПД в государстве получателя. В иных случаях передача осуществляется при наличии надлежащих мер защиты в соответствии со ст. 29 PDPA, включая договорные гарантии с обработчиками.

9.5. Законодательство государства получателя может обеспечивать иной, в том числе менее высокий, уровень защиты ПД, чем законодательство Российской Федерации или Королевства Таиланд. Компания передаёт ПД только в объёме, необходимом для соответствующей цели, и обязывает получателей, с которыми заключает договоры, обеспечивать конфиденциальность и безопасность ПД.

10. ПЕРЕДАЧА ПД ТРЕТЬИМ ЛИЦАМ

10.1. Компания передаёт (предоставляет) ПД следующим получателям в объёме, необходимом для соответствующей цели:

Подрядчикам: сведения, необходимые для оказания конкретной Услуги;
Партнёрам-организаторам: сведения, необходимые для оказания Услуги Партнёра;
страховщикам: если Участники застрахованы в связи с Услугой и при наступлении страхового случая;
Платёжным партнёрам: номер заказа и сумму, а при необходимости имя и контактные данные Заказчика; в отношении ПД, получаемых непосредственно от Заказчика или плательщика, Платёжные партнёры являются самостоятельными операторами;
обработчикам, указанным в Приложении 1;
медицинским учреждениям и спасательным службам в экстренных ситуациях (п. 6.4);
профессиональным консультантам (юристам, аудиторам, бухгалтерам), обязанным соблюдать конфиденциальность;
государственным органам и судам по их законным требованиям, а также при необходимости защиты прав Компании или субъектов;
правопреемнику Компании при её реорганизации в пределах, допускаемых законом.

10.2. Компания не продаёт ПД и не передаёт их третьим лицам для использования в собственных маркетинговых целях этих лиц.

10.3. Подрядчики, Партнёры-организаторы, отели и страховщики обрабатывают полученные ПД для оказания соответствующих услуг и исполнения собственных обязанностей, установленных законом. Компания передаёт им ПД при условии соблюдения конфиденциальности. Если Подрядчик обрабатывает ПД по поручению Компании, применяются условия п. 10.4.

10.4. Компания поручает обработку ПД другим лицам только на основании договора, который обязывает обработчика:

обрабатывать ПД только в целях и объёме, определённых Компанией, с соблюдением принципов и правил, установленных 152-ФЗ и PDPA;
соблюдать конфиденциальность ПД и принимать меры по их защите, предусмотренные ст. 19 152-ФЗ и ст. 40 PDPA;
при сборе ПД граждан Российской Федерации соблюдать требование о локализации (п. 9.1);
незамедлительно уведомлять Компанию об инцидентах, повлёкших неправомерную или случайную передачу (предоставление, распространение, доступ) ПД;
по окончании обработки уничтожить ПД или возвратить их Компании;
по запросу Компании предоставлять документы и сведения, подтверждающие соблюдение указанных требований.

10.5. Ответственность перед субъектом за действия обработчика несёт Компания. Обработчик несёт ответственность перед Компанией.

11. ПД УЧАСТНИКОВ, ПРЕДОСТАВЛЕННЫЕ ЗАКАЗЧИКОМ

11.1. Предоставляя ПД Участников, Заказчик подтверждает в Согласии на обработку персональных данных, что вправе их передать и ознакомил Участников с Политикой. В отношении несовершеннолетних применяется п. 7.2.

11.2. Компания информирует Участников об обработке их ПД, размещая ссылку на Политику в Подтверждении и ваучере, которые Заказчик доводит до Участников. Участник вправе обратиться в Компанию напрямую в порядке, установленном разделом 13.

11.3. Если Участник возражает против обработки своих ПД, Компания прекращает её, за исключением обработки, необходимой для исполнения требований закона или защиты прав. Если без таких ПД оказание Услуги этому Участнику невозможно, Компания сообщает об этом Участнику и Заказчику.

12. СРОКИ ХРАНЕНИЯ И УНИЧТОЖЕНИЕ ПД

12.1. Сроки обработки и хранения ПД по каждой цели указаны в таблице п. 5.2. В соответствии с Пользовательским соглашением ПД, обработка которых необходима для исполнения договора, хранятся после его исполнения в течение сроков, указанных в Политике.

12.2. При достижении цели обработки или утрате необходимости в её достижении, по истечении срока, указанного в п. 5.2, а также при отзыве согласия, если обработка основана только на нём, Компания прекращает обработку и уничтожает или обезличивает ПД не позднее 30 дней с даты наступления соответствующего события. Иной срок может быть предусмотрен договором, стороной или выгодоприобретателем по которому является субъект, либо законом.

12.3. При выявлении неправомерной обработки ПД Компания прекращает её не позднее 3 рабочих дней с даты выявления. Если обеспечить правомерность обработки невозможно, Компания уничтожает ПД не позднее 10 рабочих дней с даты выявления и уведомляет об этом субъекта, а если обращение поступило от Роскомнадзора, также Роскомнадзор.

12.4. Если уничтожить ПД в срок, указанный в п. 12.2 или 12.3, невозможно, Компания блокирует их и уничтожает в срок не более 6 месяцев, если иной срок не установлен федеральным законом.

12.5. ПД в информационных системах, включая системы обработчиков, удаляются без возможности восстановления. Бумажные носители уничтожаются способом, исключающим восстановление их содержания. ПД в резервных копиях уничтожаются при плановой ротации копий в пределах сроков, установленных п. 12.2–12.4; до уничтожения доступ к ним блокируется.

12.6. Уничтожение ПД подтверждается документально в порядке, установленном Роскомнадзором. Подтверждающие документы хранятся 3 года с даты уничтожения.

12.7. Обезличенные и агрегированные сведения, не позволяющие определить субъекта, могут храниться без ограничения срока.

13. ПРАВА СУБЪЕКТОВ ПД

13.1. Субъект ПД вправе:

получать сведения об обработке своих ПД, предусмотренные ч. 7 ст. 14 152-ФЗ, включая подтверждение факта обработки, её правовые основания, цели и способы, перечень обрабатываемых ПД и источник их получения, сроки обработки и хранения, сведения о лицах, которым ПД раскрываются или поручена их обработка, и сведения о трансграничной передаче;
получать доступ к своим ПД и их копию;
требовать уточнения (исправления) своих ПД, если они являются неполными, неточными или устаревшими;
требовать блокирования (ограничения обработки), уничтожения, удаления или обезличивания своих ПД, если они незаконно получены, не являются необходимыми для заявленной цели или обрабатываются неправомерно, а также в иных случаях, предусмотренных PDPA;
требовать прекращения обработки своих ПД и возражать против обработки, основанной на законном интересе Компании;
в любой момент отказаться от рекламных сообщений и иной обработки ПД в целях продвижения Услуг;
получать ПД, предоставленные им Компании, в структурированном машиночитаемом формате и требовать их передачи другому оператору, если обработка основана на согласии или договоре и такая передача технически осуществима;
отозвать согласие на обработку ПД (п. 13.6);
обжаловать действия или бездействие Компании в Роскомнадзор, в Комитет по защите персональных данных Королевства Таиланд (Personal Data Protection Committee, далее — PDPC) или в суд, требовать возмещения убытков и компенсации морального вреда в порядке, установленном законом.

13.2. Компания обеспечивает осуществление прав, перечисленных в п. 13.1, каждым субъектом независимо от его гражданства, если применимое право не ограничивает соответствующее право в конкретном случае.

13.3. Запрос направляется на адрес info@thai-crown.com с темой «Персональные данные» или почтой по адресу Компании (п. 2.1). Запрос должен позволять идентифицировать субъекта и подтверждать его участие в отношениях с Компанией. В запросе указываются фамилия и имя, номер телефона или адрес электронной почты, использованные при обращении в Компанию, номер Бронирования при его наличии и суть требования. Запрос, направленный почтой, подписывается субъектом или его представителем; представитель прилагает документ, подтверждающий полномочия.

13.4. Компания не требует сведений о документе, удостоверяющем личность, если личность заявителя и его участие в отношениях с Компанией подтверждаются иным образом, например направлением запроса с адреса электронной почты или номера телефона, указанных при бронировании. При обоснованных сомнениях Компания вправе запросить дополнительное подтверждение личности в минимально необходимом объёме.

13.5. Компания рассматривает запросы бесплатно, уведомляет субъекта о принятых мерах и соблюдает следующие сроки:

сведения об обработке и доступ к ПД предоставляются, мотивированный отказ направляется, требование о прекращении обработки исполняется не позднее 10 рабочих дней с даты получения запроса; этот срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления о причинах продления;
неполные, неточные или устаревшие ПД уточняются не позднее 7 рабочих дней с даты представления подтверждающих сведений;
незаконно полученные или не являющиеся необходимыми для заявленной цели ПД уничтожаются не позднее 7 рабочих дней с даты представления подтверждающих сведений;
рассылки и иная обработка в целях продвижения Услуг прекращаются немедленно после получения требования;
распространение ПД прекращается не позднее 3 рабочих дней с даты получения требования.

13.6. Согласие может быть отозвано в любой момент тем же способом, что и запрос (п. 13.3), а также сообщением в Официальном канале связи, через который оно было дано; Согласие на рассылку может быть отозвано также способами, указанными в разделе 17. Отзыв согласия не влияет на законность обработки, осуществлённой до его получения. После отзыва Компания прекращает обработку, основанную на согласии, но вправе продолжить обработку на иных основаниях, указанных в п. 5.2, в пределах соответствующих сроков. Если отзыв согласия делает невозможным оказание забронированной Услуги, Компания сообщает об этом субъекту.

13.7. Компания отказывает в исполнении запроса только по основаниям, предусмотренным 152-ФЗ или PDPA, и направляет мотивированный отказ в сроки, указанные в п. 13.5.

13.8. Субъект вправе обратиться в надзорные органы, указанные в п. 20.3, независимо от обращения в Компанию.

14. МЕРЫ ЗАЩИТЫ ПД

14.1. Компания принимает правовые, организационные и технические меры, необходимые и достаточные для защиты ПД от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. К таким мерам относятся:

назначение лица, ответственного за организацию обработки ПД;
утверждение локальных актов по вопросам обработки ПД и ознакомление с ними работников;
учёт операций по обработке ПД;
предоставление доступа к ПД только лицам, которым он необходим для исполнения обязанностей;
обязательства конфиденциальности работников и контрагентов, обучение работников;
определение угроз безопасности ПД и оценка вреда, который может быть причинён субъектам в случае нарушения законодательства;
шифрование данных при их передаче на Сайте по протоколу HTTPS/TLS;
защита Сайта от атак и фильтрация трафика;
резервное копирование и восстановление ПД;
регистрация событий безопасности в журналах;
заключение с обработчиками договоров, содержащих требования п. 10.4;
учёт материальных носителей ПД и их хранение, исключающее несанкционированный доступ;
внутренний контроль соответствия обработки ПД законодательству и Политике;
реагирование на инциденты в порядке, установленном разделом 15.

15. ИНЦИДЕНТЫ

15.1. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлёкшей нарушение прав субъектов, Компания:

если затронуты ПД, на обработку которых распространяется 152-ФЗ, в течение 24 часов уведомляет Роскомнадзор об инциденте, его предполагаемых причинах и вреде, принятых мерах и лице, уполномоченном на взаимодействие с Роскомнадзором, а в течение 72 часов уведомляет Роскомнадзор о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, если они выявлены;
без промедления и по возможности не позднее 72 часов с момента, когда Компании стало известно о нарушении, уведомляет PDPC, если нарушение может создать риск для прав и свобод субъектов;
если нарушение создаёт высокий риск для прав и свобод субъектов, без промедления уведомляет их о нарушении и мерах по устранению его последствий.

15.2. Компания устраняет последствия инцидента, документирует его и принимает меры по предотвращению повторения.

16. ФАЙЛЫ COOKIE

16.1. Без согласия Пользователя Сайт использует только строго необходимые технологии: защиту от атак, обеспечение базовой работы функций и сохранение выбора в баннере cookie. Функции «Избранное» и запоминание выбранного варианта оплаты используют локальное хранилище браузера; эти сведения хранятся только на устройстве Пользователя и Компании не передаются. Аналитические технологии используются только после согласия Пользователя в баннере cookie. Встроенный контент третьих лиц (видео, комментарии) загружается после такого согласия или по действию Пользователя.

16.2. Перечень технологий, сроки их хранения и порядок управления ими установлены Политикой использования файлов cookie. Пользователь вправе изменить свой выбор в любой момент по ссылке «Настройки cookie» в подвале Сайта.

17. РАССЫЛКИ

17.1. Информационные и рекламные сообщения направляются только лицам, давшим Согласие на рассылку, по указанным в нём каналам и с учётом ограничений, установленных подписчиком.

17.2. Отказаться от рассылки можно в любой момент по ссылке «Отписаться» в письме, ответом «Стоп» в мессенджере или SMS, обращением на адрес info@thai-crown.com или через любой Официальный канал связи. Рассылка прекращается в срок, указанный в п. 13.5. Отказ от рассылки не влияет на Бронирования.

17.3. Порядок направления сервисных сообщений установлен п. 5.3.6.

17.4. Подписка на официальные каналы Компании в мессенджерах, включая подписку по кнопке «Подписаться» на Сайте, оформляется и прекращается Пользователем средствами мессенджера. Компания не использует сведения о подписчиках таких каналов для направления им индивидуальных сообщений без Согласия на рассылку.

18. СТОРОННИЕ СЕРВИСЫ

18.1. Мессенджеры, социальные сети, платёжные страницы Платёжных партнёров, видеоплеер, сервис комментариев и иные сторонние сервисы, доступные с Сайта или используемые для связи с Компанией, обрабатывают ПД по собственным правилам. Компания рекомендует Пользователям ознакомиться с этими правилами до использования таких сервисов.

18.2. Выбирая для связи с Компанией мессенджер, Пользователь передаёт сведения его оператору на условиях этого мессенджера. Пользователь вправе в любой момент выбрать другой Официальный канал связи, включая электронную почту и телефон.

18.3. Компания не отвечает за правила обработки ПД сторонними сервисами и за их соблюдение в пределах, допускаемых применимым правом. ПД, полученные Компанией через такие сервисы, обрабатываются в соответствии с Политикой.

19. ИЗМЕНЕНИЕ ПОЛИТИКИ

19.1. Компания вправе изменять Политику. Новая редакция публикуется на Сайте с указанием номера и даты и действует с момента публикации, если в ней не указано иное.

19.2. О существенных изменениях Компания дополнительно уведомляет на Сайте. Существенными являются изменения целей обработки, категорий ПД, категорий получателей и места обработки.

19.3. Предыдущие редакции Политики предоставляются по запросу, направленному на адрес info@thai-crown.com.

20. СВЕДЕНИЯ О КОМПАНИИ, КОНТАКТЫ И НАДЗОРНЫЕ ОРГАНЫ

20.1. SENSATION ASIA CO., LTD. (Thai Crown), регистрационный номер 0205565044900, туристическая лицензия № 14/04720 (Inbound). Адрес: 555/23 Moo 5, Na Kluea Sub-district, Bang Lamung District, Chonburi 20150, Kingdom of Thailand.

20.2. Обращения по вопросам ПД направляются на адрес info@thai-crown.com с темой «Персональные данные» или почтой по адресу, указанному в п. 20.1. Иные Официальные каналы связи: телефоны +66 62 847 8379 и +7 964 543 8110 (в том числе WhatsApp), Telegram @thaicrown, иные мессенджеры и формы, указанные в разделе «Контакты» Сайта.

20.3. Надзорные органы:

в Российской Федерации: Роскомнадзор, rkn.gov.ru;
в Королевстве Таиланд: PDPC, pdpc.or.th.

ПРИЛОЖЕНИЕ 1. ПЕРЕЧЕНЬ ЛИЦ, ОСУЩЕСТВЛЯЮЩИХ ОБРАБОТКУ ПД ПО ПОРУЧЕНИЮ КОМПАНИИ, И СТОРОННИХ ТЕХНИЧЕСКИХ СЕРВИСОВ