Политика конфиденциальности

1. Кто обрабатывает данные

Ответственный за обработку: Arkoris Tours OÜ, регистрационный номер 11505074. Адрес: Kivila tn 15-136, 13917 Tallinn, Harju maakond, Eesti. По вопросам персональных данных и осуществления ваших прав: info@arkoris.ee.

2. Обращения и заявки на поездки

При обращении мы получаем имя, указанные вами телефон и/или email, интересующий тур, текст сообщения и время обращения. Используем их для ответа, обсуждения поездки и действий по вашему запросу до заключения договора (статья 6(1)(b) GDPR). Передача контактов необходима для ответа; без них мы не сможем связаться с вами. Обращение через сайт не является бронированием и не подписывает на рассылку.

Запрос сохраняется в закрытом разделе WordPress и направляется сотрудникам по электронной почте. Доступ имеют только лица, которым он необходим для работы. Не указывайте в свободном поле паспортные данные, сведения о здоровье или платёжные реквизиты: при необходимости для бронирования мы согласуем отдельный способ передачи.

3. Бронирования и исполнение поездки

Для подготовки и исполнения конкретной поездки мы обрабатываем необходимые сведения о путешественниках: имя и фамилию в документе, дату рождения, гражданство, контакты, маршрут и даты, размещение, выбранные услуги и данные бронирования. Когда это требуется перевозчиком, правилами въезда или оформления услуги, дополнительно запрашиваются сведения о проездном документе и визе. Не все эти сведения нужны для каждой поездки: состав данных зависит от услуги и направления.

Основание — действия до заключения договора по запросу путешественника и исполнение договора (статья 6(1)(b) GDPR). Для оформления счетов, бухгалтерского учёта и исполнения требований государственных органов применяется юридическая обязанность (статья 6(1)(c)). Для рассмотрения претензий, взыскания задолженности и защиты прав применяется законный интерес в защите требований (статья 6(1)(f)). По запросу мы поясним содержание соответствующего интереса; вы вправе возразить против такой обработки с учётом применимых ограничений.

Мы можем обрабатывать номер и сумму счёта, статус и дату оплаты, данные плательщика и сведения, необходимые для сверки платежа. Банковские реквизиты и иные сведения следует передавать только согласованным способом; платёжные реквизиты карты не нужно вводить в форму обращения. Эта политика не означает, что на сайте доступна онлайн-оплата.

4. Откуда получаем данные и сведения о других путешественниках

Обычно данные поступают непосредственно от вас через форму, email, телефон или при оформлении поездки. Если один человек заказывает поездку для нескольких участников, данные могут поступить от заказчика, попутчика, работодателя или законного представителя. В ходе исполнения услуги сведения о бронировании и его изменениях могут поступать от туроператоров, перевозчиков, отелей, страховщиков и других участников организации поездки.

Передавайте сведения о другом человеке только при наличии соответствующих полномочий или иного законного основания и доведите до него нашу политику. Мы сохраняем собственную обязанность обеспечить законность обработки и уведомить такого человека в случаях и сроки, установленные GDPR. Как правило, если данные получены не от самого человека, информацию предоставляют не позднее одного месяца, при первом общении либо до первой передачи данных другому получателю — в зависимости от того, что наступает раньше, с учётом предусмотренных законом исключений.

5. Дети и особые потребности

Данные несовершеннолетних путешественников обрабатываются в необходимом объёме для организации их поездки и оформления обязательных документов. Их предоставляют родители, законные представители или иные уполномоченные лица. Детей не подписывают на самостоятельную рекламную рассылку автоматически.

Сведения о здоровье, необходимости помощи или питании иногда могут относиться к особым категориям персональных данных. Мы не запрашиваем их в обычной форме заявки. Если они необходимы для конкретной услуги, заранее уточняем состав данных, цель, получателей и безопасный способ передачи, а также применимое основание статьи 9 GDPR; когда обработка опирается на явное согласие, запрашиваем его отдельно. Одного основания «исполнение договора» для обработки особых категорий недостаточно. Отсутствие необходимых сведений может ограничить возможность организовать специальную помощь; об этом сообщаем до оформления услуги.

6. Подписка на новости

Для рассылки используем email, выбранный список подписки, статус, сведения о подтверждении подписки и техническом результате отправки. Основание — отдельное добровольное согласие (статья 6(1)(a) GDPR). Подписка подтверждается ссылкой в письме. Отказаться можно по ссылке отписки в каждом рекламном письме или написав на info@arkoris.ee. Отказ не влияет на законность обработки до его получения.

Рассылка обслуживается MailPoet. Используется базовый режим без индивидуального отслеживания открытий писем и переходов по ссылкам и без связанного с таким отслеживанием использования cookies. Для работы подписки и доставки писем обрабатываются необходимые сведения о подтверждении, отправке, доставке, отказах и отписке. Подписка на новости не является согласием на рекламное отслеживание посещений сайта.

7. Работа сайта, защита и cookies

При обращении к сайту сервер и средства защиты могут обрабатывать IP-адрес, дату и время запроса, адрес страницы, сведения о браузере и технических ошибках. Цель — работа сайта, предотвращение злоупотреблений и разбор сбоев; основание — законный интерес в обеспечении безопасности (статья 6(1)(f) GDPR). Для защиты формы подписки используется Cloudflare Turnstile. Cloudflare может обрабатывать IP-адрес, технические характеристики TLS-соединения, заголовок User-Agent, ключ виджета и связанный с ним адрес сайта. По уведомлению Cloudflare о Turnstile, при защите нашего сайта компания обрабатывает сигналы по поручению оператора сайта, а при улучшении обнаружения ботов выступает самостоятельным ответственным за обработку. Эти разные цели и роли не означают согласия посетителя на рекламную рассылку. Дополнительная информация об обработке и правах приведена также в политике Cloudflare.

Настройки cookies обслуживает Complianz. Строго необходимые технологии обеспечивают основные функции и сохранение выбора. Необязательные технологии, если используются, требуют предварительного согласия. Выбор можно изменить через кнопку Cookies / «Настройки cookies» на сайте. Подробные сведения о категориях и обнаруженных технологиях приведены в отдельной политике cookies, доступной через баннер.

Основание обработки персональных данных и необходимость согласия на хранение информации на устройстве оцениваются отдельно. Использование средства защиты само по себе не означает автоматического освобождения любой связанной с ним технологии от согласия. Необходимость конкретных технических операций и их классификация проверяются с учётом фактических настроек.

Выбор cookies не заменяет согласие на рекламную рассылку. Ссылки на социальные сети ведут на сайты соответствующих сервисов; после перехода действуют их правила обработки данных.

8. Поставщики услуг и передача данных

Для хостинга, электронной почты и резервного копирования используем Wavecom; для управления сайтом — WordPress и средства защиты хостинга Imunify; для рассылки — MailPoet; для антибот-проверки — Cloudflare Turnstile. Поставщики получают данные в объёме, необходимом для своей функции. При оформлении поездки может потребоваться передача необходимых данных перевозчикам, отелям и другим исполнителям: получателей и условия такой передачи уточняем в процессе бронирования.

Часть поставщиков может обрабатывать данные за пределами Европейской экономической зоны. Для таких передач должны применяться предусмотренные GDPR основания и гарантии, например решение об адекватности или стандартные договорные положения. Сведения о конкретных получателях, странах и применимых гарантиях, а также способ получить их копию можно запросить по email. Если получатель находится в стране без решения об адекватности и обычные гарантии не применимы, необходимость передачи для конкретного договора и допустимость предусмотренного статьёй 49 исключения оцениваются отдельно; это не является общим разрешением на регулярные передачи без гарантий. Существенную информацию о конкретной поездке предоставляем до передачи данных. Мы не продаём ваши контактные данные.

Публичные условия поставщиков доступны по ссылкам: WaveCom AS — условия услуг и обработка данных клиента, Automattic/WooCommerce — политика группы, к услугам которой относится MailPoet, Cloudflare — условия обработки данных. Текст политики поставщика не заменяет применимые к нашему аккаунту договорные условия. WaveCom описывает обработку данных размещённых клиентом сервисов в разделе 12 своих условий; место размещения и условия конкретной услуги определяются заказом и специальными условиями. MailPoet и Cloudflare используют международную инфраструктуру, и обработка может затрагивать США и другие страны за пределами ЕЭЗ. Публичные условия Cloudflare предусматривают применимые механизмы международных передач, в том числе EU–US Data Privacy Framework и стандартные договорные положения для соответствующих случаев.

9. Сроки хранения

Обращения, по которым бронирование не состоялось, храним не более 12 месяцев после последнего общения. Старые обращения проверяются и удаляются вручную из WordPress и рабочей почты. Если возник спор или требование, относящиеся к нему сведения могут сохраняться дольше в необходимом объёме для защиты прав.

Первичные бухгалтерские документы храним 7 лет с конца финансового года, в котором соответствующая операция была отражена в учёте, согласно § 12(1) Raamatupidamise seadus. Бухгалтерские регистры, договоры, отчёты и другие деловые документы, необходимые для проверки хозяйственных операций, хранятся 7 лет с конца соответствующего финансового года согласно § 12(2). Для деловых документов, связанных с долгосрочными правами или обязательствами, § 12(3) предусматривает хранение 7 лет после окончания срока их действия.

Сведения, не подпадающие под эти обязанности, сохраняются для исполнения бронирования, а после его завершения — только в объёме и в течение срока, необходимых для рассмотрения претензий и защиты требований. При определении срока учитываем применимые правила исковой давности: по общему правилу § 146(1) Tsiviilseadustiku üldosa seadus срок требования из сделки составляет 3 года, а при умышленном нарушении обязательства § 146(4) предусматривает 10 лет. Начало отсчёта определяется § 147; возможные специальные сроки, приостановление и перерыв учитываются отдельно. Эти нормы не означают хранения всех клиентских данных в течение 10 лет. При споре необходимые материалы сохраняются до его завершения и исполнения применимых обязанностей. Данные активной подписки хранятся до отписки; после отписки может сохраняться минимальная запись об отказе и подтверждении согласия, необходимая для предотвращения повторных рассылок и рассмотрения претензий. Технические журналы используются в течение срока, необходимого для обеспечения безопасности и расследования сбоев.

Резервные копии хостинга имеют доступную историю около 45 дней. Удалённые из рабочей системы сведения могут оставаться в защищённых копиях до их плановой ротации. Копии используются для восстановления; при восстановлении необходимо повторно применить ранее полученные запросы об удалении и отписке. Отдельно сохранённые архивы также подлежат проверке и удалению, когда необходимость в них отпадает.

10. Ваши права

Вы можете запросить доступ к данным, исправление, удаление, ограничение обработки и, в применимых случаях, переносимость; возразить против обработки на основании законного интереса и в любое время отказаться от прямого маркетинга. Для обращения напишите на info@arkoris.ee. При необходимости мы соразмерно проверим личность. Обычно отвечаем в течение одного месяца; о допустимом продлении и его причине сообщим в установленный срок.

Можно подать жалобу в эстонскую Andmekaitse Inspektsioon либо в надзорный орган по месту вашего обычного проживания или работы. Мы не используем данные этих форм для принятия решений, имеющих юридические или аналогичные существенные последствия, исключительно автоматизированным способом.

11. Защита данных

Используем разграничение доступа, HTTPS, защиту входа администраторов и резервное копирование. Права доступа выдаются по рабочей необходимости. Эти меры снижают риски, но не означают гарантии абсолютной безопасности. При инциденте оцениваем риск для людей и выполняем обязанности уведомления надзорного органа и затронутых лиц в предусмотренных GDPR случаях.

12. Изменения политики

При изменении обработки обновляем этот документ и дату в его начале. Если для новой цели требуется согласие, запрашиваем его отдельно.