1. Стороны и порядок заключения
1.1. Оператор — Заказчик по Договору-оферте Hotel OS2: гостиница или иное средство размещения (далее — «Оператор»). Обработчик — индивидуальный предприниматель Музаев Абубакар Адамович, ИНН 200506884342, ОГРНИП 326200000032953 (далее — «Обработчик»).
1.2. Поручение — неотъемлемая часть Договора-оферты. Оно заключается вместе с акцептом оферты и действует, пока действует Договор и пока не исполнены обязательства раздела 9.
2. Основания и гарантии Оператора
2.1. Оператор гарантирует, что у него есть законные основания обрабатывать персональные данные, которые он вносит в Сервис или получает через него, и поручать их обработку Обработчику, в том числе:
а) для гостей — договор оказания гостиничных услуг, Правила предоставления гостиничных услуг (постановление Правительства РФ от 27.11.2025 № 1912), законодательство о миграционном учёте и о туристическом налоге, а где это требуется — согласие гостя;
б) для сведений о праве на льготу по туристическому налогу, относящихся к состоянию здоровья (сведения об инвалидности), — письменное согласие гостя (п. 1 ч. 2 ст. 10 152-ФЗ), если Оператор вносит такие сведения в Сервис;
в) для работников Оператора — трудовое законодательство и, где это необходимо, согласие работника;
г) для рассылок рекламного характера — отдельное согласие по ст. 18 Федерального закона «О рекламе».
2.2. Оператор сам информирует субъектов, публикует свою политику обработки персональных данных и уведомляет Роскомнадзор о своей обработке (ст. 18, 18.1, 22 152-ФЗ).
2.3. Обработчик не обязан получать согласие субъектов (ч. 4 ст. 6 152-ФЗ).
3. Цели обработки
Обработчик обрабатывает персональные данные только для того, чтобы предоставлять Оператору Сервис по Договору: бронирование, в том числе через модуль бронирования на сайте Оператора; заселение и онлайн-регистрация; учёт проживания и оплат; подготовка сведений для миграционного учёта и расчёта туристического налога; уведомления гостям; программа лояльности Оператора; учётные записи и журнал действий работников Оператора; техническая поддержка, резервное копирование и восстановление; выгрузка и удаление данных при прекращении Договора.
Для собственных целей (реклама, продажа, обучение моделей искусственного интеллекта на персональных данных, профилирование) Обработчик данные не использует.
4. Перечень персональных данных и субъектов
| Субъекты | Персональные данные |
|---|---|
| Гости Оператора, в том числе иностранные граждане, лица без гражданства и несовершеннолетние, проживающие с законными представителями | фамилия, имя, отчество (в том числе в латинской транскрипции); дата рождения; пол; гражданство; вид, серия, номер документа, удостоверяющего личность, дата выдачи, наименование и код подразделения органа, выдавшего документ, срок его действия; изображение (копия) документа, удостоверяющего личность, загружаемое гостем при онлайн-регистрации; адрес регистрации по месту жительства; сведения о документе, подтверждающем право пребывания (визе, виде на жительство, разрешении на временное проживание), миграционной карте, цели визита; номер телефона; адрес электронной почты; сведения о бронированиях, датах и месте проживания, номере, оплатах, депозите, бонусных баллах, предпочтениях; сведения о праве на льготу по туристическому налогу (категория льготы и реквизиты подтверждающего документа), в том числе сведения об инвалидности; идентификатор чата в мессенджере MAX; хеш пароля личного кабинета гостя; дата, время, IP-адрес и сведения о браузере при даче согласия |
| Законные представители несовершеннолетних гостей | фамилия, имя, отчество, телефон, степень родства |
| Работники Оператора — пользователи Сервиса | фамилия, имя, отчество, должность (роль), номер телефона, адрес электронной почты, логин, хеш пароля, журнал действий в Сервисе |
Сведения об инвалидности относятся к специальной категории персональных данных о состоянии здоровья (ст. 10 152-ФЗ) и обрабатываются только если Оператор вносит их для применения льготы по туристическому налогу. Биометрические персональные данные (ст. 11 152-ФЗ) не обрабатываются.
5. Перечень действий (операций)
Сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) — только Оператору, по его указанию и субобработчикам по разделу 7, обезличивание, блокирование, удаление, уничтожение. Обработка автоматизированная, с передачей по сети Интернет по защищённому каналу.
6. Обязанности Обработчика
6.1. Конфиденциальность. Не раскрывать персональные данные третьим лицам и не распространять их без согласия субъекта, кроме случаев, предусмотренных законом (ст. 7 152-ФЗ). Доступ получают только лица, которым он нужен для работы; каждый из них письменно обязуется соблюдать конфиденциальность.
6.2. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Основная база и резервные копии находятся в г. Москве.
6.3. Трансграничная передача не осуществляется. Если такая необходимость появится, это возможно только с письменного согласия Оператора и после уведомления Роскомнадзора по ст. 12 152-ФЗ.
6.4. Меры по ст. 18.1 152-ФЗ: назначено лицо, ответственное за организацию обработки персональных данных; изданы политика и локальные акты; лица, допущенные к обработке, ознакомлены с требованиями; проводится внутренний контроль.
6.5. Меры защиты по ст. 19 152-ФЗ и требованиям, утверждённым постановлением Правительства РФ от 01.11.2012 № 1119, — для информационной системы Hotel OS2 определён 3-й уровень защищённости персональных данных: разграничение доступа по ролям, вход по персональной учётной записи, пароли хранятся только в виде хеша, число попыток входа ограничено; журнал действий пользователей; шифрование каналов связи (HTTPS/TLS); доступ к серверам только по ключам SSH, вход по паролю отключён, межсетевое экранирование; ежедневное резервное копирование с шифрованием копий и хранением на отдельном сервере в Российской Федерации; своевременная установка обновлений безопасности; уничтожение данных с подтверждением (раздел 9).
6.6. По запросу Оператора — в течение срока поручения, в том числе до начала обработки, — в течение 10 рабочих дней предоставлять документы и сведения о принятых мерах (ч. 3 ст. 6 152-ФЗ): политику, сведения об уровне защищённости, перечень мер, список субобработчиков.
6.7. Помогать Оператору при запросах субъектов (ст. 14, 20, 21 152-ФЗ). Если запрос субъекта поступил Обработчику, он в течение 2 рабочих дней пересылает его Оператору. Уточнение, блокирование и удаление конкретных данных по указанию Оператора выполняются в течение 3 рабочих дней, если Оператор не может сделать это сам в Сервисе.
6.8. Обработчик не выполняет указаний Оператора, которые явно противоречат 152-ФЗ, и сообщает об этом Оператору.
7. Субобработчики
7.1. Оператор соглашается, что Обработчик привлекает следующих лиц:
| Лицо | Что делает | Какие данные | Где |
|---|---|---|---|
| ООО «ТАЙМВЭБ.КЛАУД», ИНН 7810945525 | аренда серверов (основной сервер и сервер резервных копий); доступа к содержимому баз данных не имеет | все данные по разделу 4 — на дисках арендованных серверов | Российская Федерация, г. Москва, ул. Подольских Курсантов, д. 15Б, стр. 1 (центр обработки данных IXcellerate) |
| ООО «ЯНДЕКС», ИНН 7736207543 (сервис «Яндекс 360») | доставка писем гостям и работникам Оператора (подтверждения бронирования, уведомления) | имя, адрес электронной почты, сведения о бронировании в тексте письма | Российская Федерация |
| Оператор национального мессенджера MAX (распоряжение Правительства РФ от 12.07.2025 № 1880-р) | доставка сообщений гостям, которые сами подключили чат с ботом гостиницы в MAX | идентификатор чата, текст сообщения о бронировании или проживании | Российская Федерация |
7.2. Банки, платёжные сервисы, SMS-провайдеры, каналы продаж и иные внешние сервисы, которые Оператор сам подключает к Сервису своими учётными данными, привлекаются Оператором, а не Обработчиком.
7.3. О привлечении нового субобработчика, который получит доступ к персональным данным, Обработчик уведомляет Оператора по электронной почте не позднее чем за 30 дней. Если Оператор не согласен, он вправе расторгнуть Договор. Субобработчик связан обязательствами не мягче, чем в этом Поручении; за его действия перед Оператором отвечает Обработчик.
8. Инциденты (утечки)
8.1. Если Обработчик обнаружил или получил сведения о неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных Оператора, он:
а) в течение 12 часов с момента выявления уведомляет Оператора по электронной почте и по телефону, указанным в Сервисе: что произошло, какие данные и каких субъектов это затронуло (примерное число), предполагаемые причины, принятые меры, контакт ответственного;
б) в течение 48 часов передаёт Оператору результаты внутреннего расследования и сведения о лицах, по вине которых произошёл инцидент (если они известны);
в) готовит для Оператора проект уведомления в Роскомнадзор.
8.2. Уведомить Роскомнадзор обязан Оператор (ч. 3.1 ст. 21 152-ФЗ): в течение 24 часов — об инциденте, в течение 72 часов — о результатах расследования. Обработчик не уведомляет Роскомнадзор от имени Оператора без его письменного указания.
8.3. Обработчик содействует Оператору во взаимодействии с ГосСОПКА (ч. 12 ст. 19 152-ФЗ) в объёме имеющихся у него сведений.
9. Окончание обработки, возврат и уничтожение
9.1. После прекращения Договора Обработчик в течение 30 календарных дней хранит данные для выгрузки Оператором, а затем уничтожает персональные данные Оператора: в рабочей базе — в течение 10 рабочих дней по истечении 30 дней, в резервных копиях — по мере их ротации, но не позднее чем через 14 дней после уничтожения в рабочей базе.
9.2. Уничтожение подтверждается актом и выгрузкой из журнала по требованиям приказа Роскомнадзора от 28.10.2022 № 179. Акт направляется Оператору по запросу.
9.3. Если Оператор отозвал поручение до окончания Договора или потребовал уничтожить данные конкретного субъекта, Обработчик выполняет это в течение 10 рабочих дней, если иное не требуется по закону.
10. Ответственность
10.1. Перед субъектами персональных данных за действия Обработчика отвечает Оператор; Обработчик отвечает перед Оператором (ч. 5 ст. 6 152-ФЗ).
Обработчик: ИП Музаев Абубакар Адамович, ИНН 200506884342, ОГРНИП 326200000032953. Политика обработки персональных данных — hotelos2.ru/privacy. Договор-оферта — hotelos2.ru/offer.