Политика обработки персональных данных ХронЭкс

1. Общие положения

1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Гражданским кодексом Российской Федерации и иными нормативными правовыми актами Российской Федерации.

1.2. Политика применяется ко всем персональным данным, которые Оператор получает и обрабатывает при взаимодействии с клиентами, участниками мероприятий, посетителями сайтов, авторами фото- и видеоматериалов, экскурсоводами, координаторами, подрядчиками и иными физическими лицами.

1.3. В настоящей Политике используются следующие основные понятия:

• персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу;
• обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, распространение, обезличивание, блокирование, удаление и уничтожение;
• предоставление персональных данных — раскрытие данных определённому лицу или определённому кругу лиц;
• распространение персональных данных — раскрытие данных неопределённому кругу лиц, в том числе размещение в открытом доступе в интернете;
• уничтожение персональных данных — действия, после которых восстановить содержание данных становится невозможно;
• фото- и видеоматериалы — фотографии, видеозаписи, аудиовизуальные материалы и сопровождающая их информация, полученные Оператором от участников, подписчиков, экскурсоводов, фотографов или созданные во время мероприятий ХронЭкс.

1.4. Оператор обеспечивает свободный доступ к настоящей Политике на своих информационных ресурсах и предоставляет её для ознакомления до передачи персональных данных либо в момент такой передачи.

1.5. Оператор уведомляет Роскомнадзор об обработке персональных данных в порядке и случаях, предусмотренных законодательством Российской Федерации.

2. Информационные ресурсы ХронЭкс

К информационным ресурсам Оператора относятся:

К информационным ресурсам также относятся используемые Оператором сервисы записи, учёта заявок, обработки сообщений, хранения файлов, оплаты, комментариев и технического обеспечения работы сайтов.

3. Принципы и правовые основания обработки

3.1. Оператор обрабатывает персональные данные на следующих принципах:

• законность и справедливость обработки;
• обработка только для заранее определённых и законных целей;
• соответствие объёма данных заявленным целям;
• недопущение сбора избыточных данных;
• обеспечение точности и актуальности данных;
• хранение не дольше, чем этого требуют цели обработки или закон;
• обеспечение конфиденциальности и безопасности данных.

3.2. Правовыми основаниями обработки персональных данных являются:

• заключение и исполнение договора с клиентом, заказчиком или участником, в том числе договора, заключённого путём акцепта публичной оферты;
• действия, необходимые по запросу человека до заключения договора, включая проверку свободных мест и оформление записи;
• согласие субъекта персональных данных, когда оно требуется законом;
• отдельное согласие на обработку данных, разрешённых для распространения, когда такое согласие требуется;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации;
• осуществление прав и законных интересов Оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта персональных данных;
• иные основания, предусмотренные законодательством Российской Федерации.

3.3. Когда обработка осуществляется на основании согласия, Оператор получает его в форме, позволяющей подтвердить факт его получения. В случаях, установленных законом, согласие оформляется отдельно от оферты, договора и иных подтверждаемых документов.

3.4. Молчание, бездействие или отсутствие возражений не считаются согласием на распространение персональных данных.

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные для следующих целей:

• приём и обработка обращений, проверка свободных мест и оформление записи на экскурсии, лекции, прогулки, поездки и другие мероприятия;
• заключение и исполнение договоров об оказании услуг;
• подтверждение записи и связь с участниками по организационным вопросам;
• направление напоминаний о конкретном мероприятии, изменении времени, места встречи, маршрута, правил посещения или отмене;
• проверка возрастных ограничений и оформление детских или льготных билетов;
• оформление пропусков и списков для музеев, университетов, учреждений и других объектов посещения;
• приём оплаты, подтверждение платежей, оформление возвратов, переносов, купонов и сумм, оставленных на счёте клиента в ХронЭкс;
• ведение учёта записей, участников, платежей и истории обращений;
• рассмотрение претензий, обращений и разрешение спорных ситуаций;
• публикация и модерация комментариев на сайте;
• обеспечение работы сайтов, защита от технических атак, анализ посещаемости и улучшение информационных ресурсов;
• получение, хранение, отбор, редактирование и публикация фото- и видеоматериалов с мероприятий ХронЭкс;
• ведение фото- и видеоархива ХронЭкс;
• взаимодействие с экскурсоводами, координаторами, самозанятыми, индивидуальными предпринимателями и другими подрядчиками;
• направление рекламных и информационных сообщений о будущих мероприятиях только при наличии отдельного согласия, если такое согласие необходимо;
• исполнение требований налогового, бухгалтерского и иного законодательства.

5. Категории субъектов и перечень данных

5.1. Клиенты, заказчики и участники мероприятий

Оператор может обрабатывать:

• фамилию, имя и отчество при наличии;
• номер телефона;
• адрес электронной почты;
• имя, псевдоним, никнейм и идентификатор профиля в социальной сети или мессенджере;
• ссылку на профиль во ВКонтакте, Telegram, MAX или иной используемой платформе;
• содержание сообщений и обращений;
• название и дату выбранного мероприятия;
• количество мест и сведения об участниках;
• категорию билета, право на льготу или детский билет;
• год рождения или дату рождения, когда это нужно для возрастных ограничений или льготы;
• сведения о записи, её подтверждении, переносе, отмене или возврате;
• сумму, дату и статус оплаты;
• номер операции, заказа или платежа;
• скриншоты, чеки и иные файлы, подтверждающие оплату;
• иную информацию, которую человек сам сообщает для оформления участия.

5.2. Данные для оформления доступа на объект

Если музей, университет или другое учреждение заранее составляет список посетителей, Оператор может обрабатывать:

• фамилию, имя и отчество точно как в паспорте;
• серию и номер паспорта;
• другие сведения только в случае, если они действительно требуются конкретным объектом и участник заранее уведомлён об этом.

5.3. Пользователи сайтов и авторы комментариев

При посещении сайтов и использовании системы комментариев могут обрабатываться:

• IP-адрес;
• файлы cookie и технические идентификаторы;
• сведения о браузере, операционной системе и устройстве;
• дата и время посещения;
• сведения о действиях на сайте;
• имя, псевдоним или никнейм автора комментария;
• фотография или изображение профиля;
• идентификатор социальной сети или сервиса авторизации;
• адрес электронной почты, если он предоставлен пользователем или сервисом;
• текст комментария и сведения, содержащиеся в нём.

5.4. Авторы фото- и видеоматериалов и лица, попавшие в кадр

Оператор может обрабатывать:

• изображение человека на фотографии или видеозаписи;
• голос, если он содержится в видеозаписи;
• имя, фамилию, псевдоним или никнейм автора материала;
• контактные данные автора, если они нужны для связи;
• текст отзыва, подписи и комментарии к материалу;
• название и дату мероприятия, к которому относится материал;
• сам файл фотографии или видеозаписи и его технические характеристики.

Оператор преимущественно размещает фотографии зданий, интерьеров, экспонатов, деталей и общих планов мероприятий. Оператор старается не публиковать крупные планы участников без соответствующего правового основания.

5.5. Экскурсоводы, координаторы и подрядчики

Для организации мероприятий и проведения расчётов могут обрабатываться:

• фамилия, имя и отчество;
• ИНН;
• номер телефона;
• адрес электронной почты;
• статус самозанятого или индивидуального предпринимателя;
• договоры, акты, чеки самозанятых и иные расчётные документы;
• сведения о проведённых мероприятиях и причитающихся выплатах.

5.6. Данные, которые Оператор не получает

Оператор не получает и не хранит полные реквизиты банковских карт, CVC/CVV-коды, пароли от банковских приложений и иные данные, используемые для авторизации платежа.

Целенаправленная обработка специальных категорий персональных данных о здоровье, политических взглядах, религиозных убеждениях, интимной жизни и иных специальных категориях не осуществляется.

Фотографии, видеозаписи и голос не используются Оператором для автоматического установления личности, распознавания лица или иной биометрической идентификации.

6. Порядок обработки персональных данных

6.1. Обработка осуществляется с использованием средств автоматизации, без использования средств автоматизации и смешанным способом.

6.2. Оператор может совершать следующие действия:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение, обновление и изменение;
• извлечение и использование;
• передачу и предоставление;
• распространение в случаях, указанных в настоящей Политике;
• обезличивание;
• блокирование;
• удаление и уничтожение.

6.3. Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, собираемых через интернет, осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в случаях, предусмотренных законодательством.

6.4. Основной системой учёта записей и участников является ExaExcursions. Данные из обращений во ВКонтакте, Telegram, MAX, электронной почте и других каналах могут вручную переноситься Оператором в данную систему.

6.5. Сообщения из Telegram и ВКонтакте могут обрабатываться и храниться в SmartBotPro и Jivo. Сообщения из MAX обрабатываются через SmartBotPro. Электронная почта Оператора также подключена к Jivo.

6.6. Если пользователь передаёт данные другого участника, он должен предварительно уведомить этого участника о передаче данных Оператору и иметь законное основание для такой передачи.

6.7. Данные несовершеннолетнего участника передаются его родителем, законным представителем либо иным лицом, имеющим законное право оформить его участие.

6.8. Оператор вправе проверить предоставленные сведения и запросить уточнение, если без этого невозможно оформить запись, льготу, пропуск или оказать услугу.

7. Фото, видео и распространение персональных данных

7.1. По общему правилу Оператор не раскрывает персональные данные неопределённому кругу лиц.

7.2. Распространение может осуществляться при публикации:

• фото- и видеоматериалов на фотосайте и других ресурсах ХронЭкс;
• отзывов участников;
• имени или псевдонима автора материала;
• комментариев, которые пользователь самостоятельно размещает в открытом разделе сайта;
• иных материалов при наличии соответствующего правового основания.

7.3. Если человек является основным объектом фотографии или видеозаписи и его можно узнать, материал публикуется при наличии согласия изображённого лица либо другого правового основания, предусмотренного законом.

7.4. Согласие на обработку персональных данных, разрешённых для распространения, оформляется отдельно от иных согласий, если такое согласие требуется законом.

7.5. Согласие на публикацию изображения не требуется в случаях, предусмотренных статьёй 152.1 Гражданского кодекса Российской Федерации, в частности когда съёмка проведена в общедоступном месте или на публичном мероприятии и изображённый человек не является основным объектом использования.

7.6. Узнаваемые портреты и крупные планы несовершеннолетних публикуются только при наличии согласия родителя или иного законного представителя, кроме случаев, прямо предусмотренных законом.

7.7. Само по себе направление фотографии или видеозаписи Оператору не означает автоматически, что все изображённые на ней лица разрешили открытую публикацию своих изображений.

7.8. Оператор вправе отказаться от публикации, кадрировать материал, скрыть или размыть лицо, удалить звук либо иным образом отредактировать материал для защиты прав изображённых лиц.

7.9. Человек вправе потребовать прекратить распространение своего изображения или иных персональных данных. Требование можно направить на chronex@chronex.ru.

В обращении желательно указать:

• фамилию, имя и отчество при наличии;
• контактные данные для ответа;
• ссылку на страницу или материал;
• какие именно данные или изображение необходимо удалить.

7.10. Если требование обосновано, Оператор прекращает распространение в сроки, установленные законодательством Российской Федерации.

8. Передача данных и используемые сервисы

8.1. Оператор передаёт персональные данные только в объёме, необходимом для заявленных целей.

Данные могут передаваться или быть доступны следующим получателям:

• музеям, университетам, учреждениям и другим объектам посещения — для оформления списков и пропусков;
• экскурсоводам, координаторам и сопровождающим — для организации и проведения мероприятия;
• банкам, платёжным сервисам и операторам эквайринга — для приёма оплаты, подтверждения платежа и возврата средств;
• государственным органам — в случаях, предусмотренных законодательством;
• техническим сервисам, обрабатывающим данные по поручению Оператора или предоставляющим инфраструктуру.

8.2. Экскурсоводам и координаторам могут передаваться фамилия и имя, телефон, количество участников, название мероприятия и статус записи. Паспортные данные экскурсоводам и координаторам не передаются.

8.3. Паспортные данные передаются только музею, университету, учреждению или другому объекту, который требует их для оформления доступа.

8.4. Для обработки данных и работы информационных ресурсов Оператор использует, в частности:

• Tilda — размещение основного сайта;
• Wfolio — размещение фотосайта и опубликованных материалов;
• Яндекс 360 — электронная почта и Яндекс Диск;
• Яндекс Метрика — анализ посещаемости основного сайта;
• DDoS-Guard — техническая защита сайта;
• Tolstoy Comments / TLST Comments — комментарии на основном сайте;
• SmartBotPro — обработка сообщений и работа чат-ботов;
• Jivo — обработка сообщений, электронной почты и карточек обращений;
• ExaExcursions — основная система учёта записей и участников;
• EV2 — отображение афиши и онлайн-запись;
• ВКонтакте, Telegram и MAX — общение, запись и информирование;
• Точка и иные платёжные сервисы — приём и возврат оплаты.

8.5. Перечисленные сервисы могут самостоятельно обрабатывать технические, регистрационные и иные данные пользователей в соответствии со своими правилами и политиками.

8.6. При использовании Telegram или иной внешней платформы пользователь самостоятельно выбирает соответствующий канал связи. Обработка данных владельцем такой платформы регулируется его собственными документами.

8.7. Оператор не направляет паспортные данные через Telegram, MAX и публичные сообщения ВКонтакте и просит пользователей также не делать этого.

8.8. Если деятельность Оператора будет включать трансграничную передачу персональных данных, она осуществляется только при соблюдении требований законодательства Российской Федерации и необходимых процедур уведомления.

9. Сроки хранения и уничтожение данных

9.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, договор или законодательство Российской Федерации.

9.2. Обычная переписка в SmartBotPro, Jivo, социальных сетях, мессенджерах и электронной почте может храниться до трёх лет после последнего обращения или завершения мероприятия.

Если имеется незавершённая претензия, спор, задолженность или иное неисполненное обязательство, соответствующие данные могут храниться до окончательного разрешения вопроса.

9.3. Сведения о записи, участии, оплате, возврате и переносе могут храниться в течение срока исполнения обязательств и срока, необходимого для защиты прав и законных интересов сторон.

Документы, необходимые для налогового, бухгалтерского и финансового учёта, хранятся в течение сроков, установленных законодательством.

9.4. Паспортные данные удаляются из электронной почты, Jivo, ExaExcursions, рабочих файлов и списков не позднее 30 календарных дней после мероприятия, если более длительное хранение не требуется законом или обязательными правилами объекта посещения.

9.5. Полная дата рождения, полученная только для проверки возрастного ограничения или льготы, удаляется либо сокращается до года рождения после достижения соответствующей цели, если дальнейшее хранение полной даты не требуется.

9.6. Электронные списки участников, переданные экскурсоводам и координаторам, подлежат удалению после мероприятия, но не позднее 30 календарных дней. Бумажные списки подлежат уничтожению, когда необходимость в них отпала.

9.7. Комментарии на сайте хранятся до их удаления пользователем, Оператором или техническим сервисом, прекращения работы раздела либо поступления обоснованного требования об удалении.

9.8. Фото- и видеоматериалы могут храниться на устройствах Оператора, Яндекс Диске и Wfolio в течение срока существования фотоархива ХронЭкс, пока сохраняется цель хранения и законное основание обработки.

Материал удаляется, если прекращено законное основание для его обработки, отозвано соответствующее согласие либо получено обоснованное требование, если закон не допускает дальнейшую обработку без согласия.

9.9. Технические журналы и резервные копии могут сохраняться в течение сроков, установленных соответствующим сервисом. Такие сведения не используются Оператором для текущей работы и удаляются при плановом обновлении резервных копий.

9.10. Уничтожение осуществляется путём удаления записей из информационных систем, очистки полей, удаления файлов и переписки, уничтожения бумажных носителей либо иным способом, исключающим восстановление данных доступными Оператору средствами.

10. Cookie и технические данные

10.1. Основной сайт использует технические файлы cookie, Яндекс Метрику, Tilda, EV2, Tolstoy Comments и средства защиты DDoS-Guard.

10.2. На фотосайте отдельный счётчик Яндекс Метрики Оператором не подключён. При этом Wfolio может обрабатывать необходимые технические данные и cookie для работы сайта.

10.3. Технические данные могут включать IP-адрес, сведения о браузере, операционной системе, устройстве, времени посещения, источнике перехода и действиях пользователя на сайте.

10.4. Эти данные используются для:

• обеспечения работы сайтов;
• отображения расписания и комментариев;
• защиты от атак и технических сбоев;
• анализа посещаемости основного сайта;
• улучшения структуры и содержания ресурсов.

10.5. Пользователь может ограничить или удалить cookie в настройках браузера. Отключение технических cookie может повлиять на работу отдельных функций сайта.

11. Права субъектов персональных данных

Субъект персональных данных вправе:

• получать информацию об обработке своих персональных данных;
• требовать уточнения неточных или устаревших данных;
• требовать блокирования, удаления или уничтожения данных, если они обрабатываются незаконно или больше не нужны;
• отозвать согласие на обработку персональных данных;
• отозвать согласие на получение рекламных сообщений;
• потребовать прекратить распространение персональных данных;
• обжаловать действия Оператора в Роскомнадзоре или суде;
• осуществлять иные права, предусмотренные законом.

Обращение можно направить:

• по электронной почте: chronex@chronex.ru;
• через сообщения сообщества ВКонтакте: https://vk.com/write-172362175 ;
• почтой по адресу Оператора: 196641, г. Санкт-Петербург, п. Металлострой, ул. Садовая, д. 18, литера А, кв. 44.

Обращение должно позволять установить заявителя и понять, какие именно данные и действия являются предметом требования. Оператор вправе запросить дополнительную информацию, необходимую для подтверждения личности заявителя.

Отзыв согласия не препятствует дальнейшей обработке данных, если для неё существует другое законное основание, включая исполнение договора, требования закона или защиту прав и законных интересов сторон.

12. Защита персональных данных

12.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, изменения, копирования, предоставления, распространения, удаления, уничтожения и иных неправомерных действий.

К таким мерам относятся:

• ограничение доступа к персональным данным;
• использование индивидуальных учётных записей и паролей;
• применение доступных средств двухфакторной авторизации;
• контроль доступа к электронной почте, CRM, мессенджерам и облачному хранилищу;
• разделение обычных данных и паспортных данных;
• минимизация передаваемых экскурсоводам и координаторам сведений;
• своевременное удаление паспортных данных и списков;
• использование технических мер защиты, предоставляемых сервисами;
• проверка актуальности и необходимости хранящихся данных;
• реагирование на обращения и инциденты безопасности.

12.2. Доступ к основной системе учёта, SmartBotPro, Jivo, рабочей электронной почте, Яндекс Диску, Tilda, Wfolio, Tolstoy Comments и платёжному кабинету ограничен Оператором.

12.3. При выявлении утраты, неправомерного доступа или иной утечки персональных данных Оператор принимает меры по устранению последствий и уведомляет Роскомнадзор в случаях и сроки, установленные законом.

13. Заключительные положения

13.1. Оператор вправе изменять настоящую Политику при изменении законодательства, состава используемых сервисов, способов записи, оплаты, хранения или обработки персональных данных.

13.2. Новая редакция вступает в силу с момента её публикации по адресу: https://chronex18.ru/privacy , если в самой редакции не указана другая дата.

13.3. Актуальная версия Политики размещается также посредством ссылок на сайтах, в социальных сетях, мессенджерах и чат-ботах ХронЭкс.

13.4. Вопросы об обработке персональных данных можно направить на chronex@chronex.ru.