1. Общие положения

1.1. Настоящая Политика акционерного общества «Гостиничный комплекс Татарстан» в отношении обработки персональных данных на сайте hotel-tatarstan.ru (далее — Политика) разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) в целях обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика действует в отношении всех персональных данных, которые обрабатывает акционерное общество «Гостиничный комплекс Татарстан» на сайте hotel-tatarstan.ru (далее — Оператор, АО «ГК Татарстан»).

1.3. Политика распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящей Политики.

1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте hotel-tatarstan.ru.

1.5. Основные понятия, используемые в Политике:

1.6. Основные права и обязанности Оператора

1.6.1. Оператор имеет право:

1. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
2. поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, предусмотренные Законом, соблюдать конфиденциальность и принимать необходимые защитные меры;
3. в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку без согласия субъекта при наличии оснований, указанных в Законе о персональных данных.

1.6.2. Оператор обязан:

1. организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
2. отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона;
3. сообщать в уполномоченный орган (Роскомнадзор) по запросу необходимую информацию в течение 10 рабочих дней с даты получения запроса. Срок может быть продлен не более чем на пять рабочих дней с направлением мотивированного уведомления;
4. обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу персональных данных.

1.7. Основные права субъекта персональных данных

Субъект персональных данных имеет право:

1. получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются в доступной форме, без персональных данных других субъектов, за исключением законных оснований для их раскрытия;
2. требовать от Оператора уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
3. дать предварительное согласие на обработку персональных данных в целях продвижения на рынке товаров, работ и услуг;
4. обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.

1.8. Контроль за исполнением требований настоящей Политики осуществляется уполномоченным лицом, ответственным за организацию обработки персональных данных у Оператора.

1.9. Ответственность за нарушение требований Федерального закона «О персональных данных» от 27.07.2006 № 152-ФЗ АО «ГК Татарстан» регулируется действующим законодательством Российской Федерации.

2. Цели обработки персональных данных

2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка, несовместимая с целями сбора.

2.2. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

2.3. Обработка Оператором персональных данных осуществляется в следующих целях:

• Заключение и исполнение договоров с клиентами и контрагентами (физическими лицами) — бронирование номеров, оказание гостиничных и сопутствующих услуг, оформление проживания. Правовое основание — п. 5 ч. 1 ст. 6 Закона (исполнение договора).
• Заключение и исполнение договоров с представителями (работниками) клиентов и контрагентов (юридических лиц) — обеспечение пропускного режима, организация мероприятий. Правовое основание — п. 5 ч. 1 ст. 6 Закона.
• Обработка обращений и запросов, поступающих через форму обратной связи на сайте hotel-tatarstan.ru/feedback — рассмотрение обращений, ответ на запросы. Правовое основание — п. 1 ч. 1 ст. 6 Закона (согласие субъекта).
• Обработка данных через внешние формы Bitrix — сбор заявок и обращений пользователей. Правовое основание — п. 1 ч. 1 ст. 6 Закона (согласие субъекта).
• Сбор и анализ статистических данных о поведении пользователей с использованием Яндекс Метрики — улучшение качества сайта, оценка эффективности, анализ предпочтений. Правовое основание — п. 1 ч. 1 ст. 6 Закона (согласие через cookie-баннер).
• Осуществление деятельности в соответствии с уставом АО «ГК Татарстан», включая обеспечение соблюдения законов и иных нормативных актов.

2.4. Обработка персональных данных работников может осуществляться исключительно в целях обеспечения соблюдения законов и иных нормативных правовых актов.

3. Правовые основания обработки персональных данных

3.1. Правовым основанием обработки является совокупность нормативных правовых актов, во исполнение которых Оператор осуществляет обработку, в том числе:

• Конституция Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Гражданский, Трудовой и Налоговый кодексы Российской Федерации;
• Федеральный закон от 26.12.1995 № 208-ФЗ «Об акционерных обществах»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете»;
• Федеральный закон от 15.12.2001 № 167-ФЗ «Об обязательном пенсионном страховании в Российской Федерации»;
• иные нормативные правовые акты, регулирующие деятельность Оператора.

3.2. Правовым основанием обработки в соответствии с ч. 1 ст. 6 Закона являются:

1. согласие субъекта (п. 1 ч. 1 ст. 6) — применяется при обработке через формы обратной связи, Bitrix и Яндекс Метрику;
2. исполнение договора (п. 5 ч. 1 ст. 6) — применяется при заключении и исполнении договоров с клиентами и контрагентами;
3. достижение целей, предусмотренных законом (п. 2 ч. 1 ст. 6) — применяется при обработке данных работников в соответствии с трудовым, налоговым и иным законодательством.

3.3. Дополнительными основаниями также являются:

• устав АО «ГК Татарстан»;
• приказ от 21.09.2026 г. о начале обработки персональных данных автоматизированным способом;
• договоры, заключаемые между Оператором и субъектами персональных данных;
• согласия субъектов на обработку их персональных данных;
• договоры поручения на обработку (в т.ч. с ООО «Яндекс» в отношении Яндекс Метрики).

4. Объём и категории обрабатываемых данных

4.1. Содержание и объём обрабатываемых данных должны соответствовать заявленным целям. Данные не должны быть избыточными.

4.2. Оператор обрабатывает данные следующих категорий субъектов:

4.2.1. Клиенты и контрагенты (физические лица)

Для бронирования, оказания услуг и оформления проживания:

• фамилия, имя, отчество;
• контактные данные (номер телефона, адрес электронной почты);
• данные документа, удостоверяющего личность;
• иные данные, необходимые для заключения и исполнения договоров.

4.2.2. Представители (работники) клиентов и контрагентов (юридических лиц)

Для пропускного режима и исполнения договоров:

• фамилия, имя, отчество;
• контактные данные (номер телефона, адрес электронной почты);
• иные данные, необходимые для заключения и исполнения договоров.

4.2.3. Посетители сайта hotel-tatarstan.ru

Для обработки обращений и сбора статистики (Яндекс Метрика):

• фамилия, имя (указываемые при заполнении форм);
• адрес электронной почты;
• IP-адрес, тип браузера и операционной системы;
• файлы cookie (в т.ч. _ym_uid, _ym_d);
• URL-адрес сайта, с которого осуществлён переход;
• данные о посещённых страницах, времени посещения, поведении на сайте;
• иные технические данные, собираемые автоматически.

5. Порядок и условия обработки

5.1. Обработка осуществляется в соответствии с требованиями законодательства РФ.

5.2. Обработка осуществляется с согласия субъектов, а также без такового в случаях, предусмотренных законодательством.

5.3. Способы обработки:

• неавтоматизированная обработка;
• автоматизированная обработка с передачей по сетям или без таковой;
• смешанная обработка.

5.4. К обработке допускаются работники Оператора, в должностные обязанности которых это входит.

5.5. Обработка осуществляется путем: получения данных непосредственно от субъектов; внесения в журналы и информационные системы; автоматизированного сбора при посещении сайта (Яндекс Метрика, cookie); использования иных законных способов.

5.6. Не допускается раскрытие третьим лицам без согласия субъекта, если иное не предусмотрено ФЗ. Согласие на распространение оформляется отдельно (Приказ Роскомнадзора от 24.02.2021 № 18).

5.7. Передача данных в органы дознания, ФНС, СФР и иные уполномоченные органы осуществляется в соответствии с требованиями законодательства РФ.

5.8. В отношении данных, собираемых через Яндекс Метрику, Оператор обеспечивает:

• информирование при первом посещении через cookie-баннер с возможностью отказа;
• получение согласия до начала обработки;
• обработку с использованием баз данных на территории РФ;
• передачу данных ООО «Яндекс» по поручению Оператора на основании договора (ч. 3 ст. 6 Закона).

5.9. Оператор принимает правовые, организационные и технические меры для защиты данных, включая: определение угроз; принятие локальных актов; назначение ответственных лиц; создание условий для работы; учет документов; организацию работы с ИС; обеспечение сохранности; обучение работников.

5.10. Хранение данных осуществляется не дольше, чем этого требует цель обработки, если срок не установлен законом или договором.

• 5.10.1. На бумажных носителях — в течение сроков, предусмотренных законодательством об архивном деле (ФЗ от 22.10.2004 № 125-ФЗ, Перечень Росархива от 20.12.2019 № 236).
• 5.10.2. В информационных системах — соответствует сроку хранения на бумажных носителях (ст. 5 ФЗ-152).
• 5.10.3. Данные Яндекс Метрики хранятся до 1 (одного) года. Пользователь может ограничить cookies в браузере или отозвать согласие в любой момент.

5.11. Оператор прекращает обработку при: выявлении неправомерной обработки (в течение 3 рабочих дней); достижении цели; истечении срока или отзыве согласия (если обработка допускалась только с согласия).

5.12. При достижении цели или отзыве согласия обработка прекращается, если иное не предусмотрено договором, законом или соглашением сторон.

5.13. При требовании о прекращении обработки обработка прекращается в срок до 10 рабочих дней (может быть продлен не более чем на 5 дней с мотивированным уведомлением).

5.14. При сборе данных через Интернет Оператор обеспечивает запись, систематизацию, накопление, хранение и извлечение данных граждан РФ с использованием баз данных на территории РФ.

6. Актуализация, исправление, удаление, уничтожение

6.1. Подтверждение факта обработки, правовые основания, цели и иные сведения (ч. 7 ст. 14 Закона) предоставляются субъекту или его представителю в течение 10 рабочих дней (с возможным продлением не более чем на 5 дней с уведомлением). Запрос должен содержать: номер и реквизиты документа, удостоверяющего личность; сведения, подтверждающие участие в отношениях с Оператором; подпись. Запрос может быть направлен в электронной форме с ЭП.

6.2. При выявлении неточных данных Оператор осуществляет блокирование на период проверки. При подтверждении неточности данные уточняются в течение 7 рабочих дней и блокирование снимается.

6.3. При выявлении неправомерной обработки Оператор осуществляет блокирование неправомерно обрабатываемых данных с момента обращения или получения запроса.

6.4. При инциденте неправомерной передачи данных Оператор:

• в течение 24 часов уведомляет Роскомнадзор об инциденте, причинах, вреде и принятых мерах;
• в течение 72 часов уведомляет Роскомнадзор о результатах внутреннего расследования.

6.5. Порядок уничтожения персональных данных

6.5.1. Сроки уничтожения:

• достижение цели или утрата необходимости — в течение 30 дней;
• достижение максимальных сроков хранения документов — в течение 30 дней;
• подтверждение незаконного получения или избыточности данных — в течение 7 рабочих дней;
• отзыв согласия, если сохранение более не требуется — в течение 30 дней.

6.5.2. Уничтожение не производится, если иное предусмотрено договором, законом или соглашением.

6.5.3. Уничтожение осуществляет комиссия, созданная приказом директора АО «ГК Татарстан».

6.5.4. Способы уничтожения устанавливаются в локальных нормативных актах Оператора.

7. Файлы cookie и инструменты аналитики

7.1. На сайте используются:

• технические (обязательные) cookie — для функционирования и безопасности сайта. Не требуют согласия и не могут быть отключены;
• аналитические cookie — Яндекс Метрика для сбора статистики. Обрабатываются только при согласии через cookie-баннер.

7.2. Яндекс Метрика:

• работает только при согласии через cookie-баннер;
• собирает: IP-адрес, cookie (_ym_uid, _ym_d), тип браузера и ОС, URL источника, дату/время, страницы, действия;
• хранит данные до 1 года;
• основание: п. 1 ч. 1 ст. 6 Закона (согласие);
• базы данных находятся на территории РФ, трансграничная передача не осуществляется.

7.3. Внешние формы Bitrix:

• работают только при проставлении отметки (чекбокса) согласия;
• собирают: имя, e-mail, текст обращения;
• хранят данные не более 1 года;
• основание: п. 1 ч. 1 ст. 6 Закона (согласие);
• базы данных находятся на территории РФ, трансграничная передача не осуществляется.

7.4. Пользователь может ограничить cookies в настройках браузера. Отключение аналитических cookies прекратит сбор данных Метрикой, но технические cookies продолжат работать.

8. Политика обработки файлов cookie

8.2. Обрабатываемые данные: дата и время посещения, IP-адрес, тип браузера и ОС, URL перехода, данные агрегаторов статистики, cookie-идентификаторы (_ym_uid, _ym_d).

8.3. Цели: составление профиля посещаемости, таргетирование, улучшение качества сайта и оценка эффективности контента.

8.4. Для отказа от обработки необходимо отключить cookies в настройках браузера или покинуть сайт.

9. Реквизиты Оператора

Оператор персональных данных: