Политика обработки персональных данных

Настоящая Политика определяет порядок обработки и защиты персональных данных субъектов персональных данных оператором сайта cosmos-hotel.net — Индивидуальным предпринимателем Поповой Людмилой Григорьевной (далее — Оператор).

Редакция от 20 октября 2026 года

1. Общие положения

1.1. Оператором персональных данных является Индивидуальный предприниматель Попова Людмила Григорьевна (ИНН 312100443580, ОГРНИП 313313025600012), адрес: 308010, Российская Федерация, Белгородская область, г. Белгород, проспект Богдана Хмельницкого, 213 а.

1.2. Оператор организует и осуществляет обработку персональных данных на сайте отеля «Космос» (далее — Сайт) в отношении гостей, потенциальных гостей и посетителей Сайта.

1.3. Настоящая Политика разработана в соответствии с требованиями:

• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федерального закона от 24.06.2025 № 156-ФЗ «О внесении изменений в Федеральный закон „О персональных данных“»;
• Федерального закона от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»;
• Федерального закона от 14.07.2022 № 266-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации»;
• Постановления Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказа ФСТЭК России от 21.02.2022 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных»;
• Приказа Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований и мер по реализации операторами мер по оценке возможного вреда, который может быть причинен субъектам персональных данных в случае нарушения требований Федерального закона „О персональных данных“»;
• Гражданского кодекса Российской Федерации;
• Закона РФ от 07.08.2001 № 152-ФЗ «О защите персональных данных».

1.4. Оператор является оператором персональных данных в значении статьи 3 Федерального закона № 152-ФЗ.

1.5. Используемые в настоящей Политике основные понятия:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение;
• информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• файлы cookie — небольшие текстовые файлы, сохраняемые на устройстве пользователя и содержащие идентификаторы, которые позволяют сайту запоминать пользователя и его предпочтения. В соответствии с Федеральным законом от 24.06.2025 № 156-ФЗ файлы cookie приравниваются к персональным данным;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства.

1.6. Политика действует в отношении всей информации, которую Оператор может получить о пользователе Сайта, с момента вступления в силу и до его отмены.

1.7. Оператор обеспечивает неограниченный доступ к настоящей Политике с любой страницы Сайта — в подвале каждой страницы размещена ссылка «Политика обработки персональных данных».

2. Принципы обработки персональных данных

2.1. Оператор обрабатывает персональные данные в соответствии со следующими принципами (статья 5 Федерального закона № 152-ФЗ):

• законность и справедливость обработки;
• ограничение целями обработки — обработка только для заранее определённых и законных целей;
• соответствие объёма и содержания обрабатываемых данных заявленным целям — обработка только тех данных, которые отвечают целям обработки, без избыточности;
• точность и достаточность данных — принятие мер по уточнению или удалению неполных, неточных данных;
• ограничение срока хранения — хранение не дольше, чем этого требуют цели обработки;
• недопустимость объединения баз данных, обработка которых осуществляется в несовместимых целях.

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

3.2. Оператор не обрабатывает персональные данные в целях, не указанных в настоящей Политике.

4. Правовые основания обработки

4.1. Обработка персональных данных осуществляется на следующих правовых основаниях (статья 6 Федерального закона № 152-ФЗ):

4.2. Согласие субъекта персональных данных на обработку персональных данных для целей, указанных в разделе 3 настоящей Политики, оформляется отдельно от иных документов, подтверждающих получение гостем услуг, в форме, не связанной с офертой, и не может быть предварительно отмечено. Согласие выражается отметкой соответствующего поля в форме бронирования на Сайте; факт и время выражения согласия фиксируются Оператором и сохраняются вместе с данными бронирования. Согласие может быть отозвано в любой момент способом, указанным в пункте 8.2 настоящей Политики.

4.2.1. Согласие на использование файлов cookie, в том числе аналитических, оформляется отдельно в диалоговом окне настроек cookie и не может быть предварительно отмечено. Отметка о согласии снимается путём выбора категории «Только необходимые» в указанном окне. Порядок управления согласием на cookie приведён в разделе 11 настоящей Политики и в Политике использования файлов cookie.

4.3. Часть 2 статьи 6 Федерального закона № 152-ФЗ не применяется: обработка персональных данных осуществляется в объёме, не превышающем объёма, необходимого для заявленных целей.

5. Категории субъектов персональных данных и состав обрабатываемых данных

5.1. Специальные категории персональных данных и биометрические персональные данные (статьи 10 и 11 Федерального закона № 152-ФЗ) Оператор не обрабатывает. Сведения о состоянии здоровья гостей, если они добровольно сообщены администратору отеля, обрабатываются в объёме, указанном самим субъектом, в рамках цели «оказание гостиничных услуг».

6. Порядок и условия обработки

6.1. Обработка персональных данных осуществляется:

• как с использованием средств автоматизации (в информационной системе — базе данных Сайта на сервере хостинг-провайдера), так и без использования таких средств (журналы учёта, бумажные записи администратора);
• с использованием шифрования канала передачи — Сайт доступен только по защищённому протоколу HTTPS;
• путём сбора данных непосредственно от субъекта — через формы на Сайте.

6.2. Перечень действий с персональными данными, осуществляемых Оператором: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

6.3. Передача персональных данных третьим лицам не осуществляется, за исключением случаев, прямо предусмотренных законодательством Российской Федерации, либо необходимости её осуществления в связи с исполнением договора.

6.4. Оператор не продаёт, не раздаёт и не передаёт персональные данных посетителей Сайта третьим лицам за вознаграждение.

7. Передача персональных данных обработчикам и третьим лицам

7.1. Оператор привлекает обработчиков персональных данных на основании договоров, предусматривающих обязательства по сохранению конфиденциальности, невозможности доступа третьих лиц, защиты от уничтожения, блокирования, изменения и разглашения данных, а также по уведомлению об инцидентах.

7.2. Трансграничная передача персональных данных

7.2.1. Размещение базы данных персональных данных Сайта осуществляется на сервере, арендованном Оператором у зарубежного хостинг-провайдера (территория Французской Республики). Вследствие этого размещение персональных данных на указанном сервере представляет собой трансграничную передачу в смысле статьи 12 Федерального закона № 152-ФЗ.

7.2.2. Оператор уведомил Роскомнадзор о факте трансграничной передачи персональных данных и об иностранном юридическом лице, привлекаемом к обработке (хостинг-провайдер), в порядке и сроки, установленные статьёй 12 Федерального закона № 152-ФЗ.

7.2.3. Трансграничная передача осуществляется с соблюдением следующих требований:

• защита персональных данных при их передаче за пределы Российской Федерации обеспечивается шифрованием канала передачи (HTTPS) и организационными мерами по разграничению доступа;
• обработка на указанном сервере осуществляется в объёме, не превышающем объёма, необходимого для заявленных целей обработки;
• согласие субъекта на трансграничную передачу не требуется, поскольку такая передача является необходимой для достижения целей обработки, заявленных в разделе 3 настоящей Политики, и не приводит к расширению состава обрабатываемых данных;
• Оператор контролирует соблюдение требований законодательства Российской Федерации иностранным обработчиком, в том числе путём включения в договор с хостинг-провайдером обязательств по сохранению конфиденциальности, защите персональных данных от неправомерного доступа, уничтожения, блокирования, изменения и разглашения, а также по уведомлению об инцидентах.

7.2.4. Иные трансграничные передачи, не указанные в пункте 7.2.1 настоящей Политики, Оператором не осуществляются. Перечень иностранных юридических лиц, привлекаемых к обработке персональных данных, приведён в таблице раздела 7.

8. Права субъекта персональных данных

8.1. Субъект персональных данных вправе (статьи 14–17 Федерального закона № 152-ФЗ):

• получить сведения об обработке своих персональных данных, подтверждающие факт их обработки, правовые основания и цели обработки, перечень обрабатываемых данных и сроки их хранения, а также сведения об осуществленной или предполагаемой трансграничной передаче;
• требовать уточнения своих персональных данных, если они неполны, устарели, неточны или недостоверны;
• требовать блокирования обработки своих персональных данных, если она осуществляется в нарушение требований законодательства;
• требовать удаления персональных данных, если цели обработки достигнуты, если субъект отозвал согласие, если обработка нарушает требования законодательства либо по иным основаниям, предусмотренным законом;
• отозвать согласие на обработку персональных данных в любой момент;
• обжаловать действия или бездействие Оператора в установленном законом порядке.

8.2. Для реализации своих прав субъект персональных данных направляет обращение на адрес cosmoshotel.31@mail.ru с пометкой «Обращение о персональных данных» либо по почтовому адресу: 308010, Российская Федерация, Белгородская область, г. Белгород, проспект Богдана Хмельницкого, 213 а.

8.3. Оператор рассматривает обращение в срок, не превышающий 30 календарных дней с момента его получения, если иной срок не установлен законодательством. В случаях, предусмотренных законом, срок может быть продлён.

8.4. Согласие на обработку персональных данных, выраженное в форме бронирования, отзывается направлением обращения в порядке, установленном пунктом 8.2 настоящей Политики. Оператор прекращает обработку персональных данных субъекта, отозвавшего согласие, если иное не предусмотрено законодательством Российской Федерации.

8.5. Согласие на обработку файлов cookie отзывается путём нажатия ссылки «Настройки cookie» в подвале любой страницы Сайта и выбора категории «Только необходимые».

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает правовые, организационные и технические меры в соответствии со статьёй 19 Федерального закона № 152-ФЗ, Постановлением Правительства РФ № 1119 и Приказом ФСТЭК России № 21, включая:

• обеспечение доступности Сайта только по защищённому протоколу HTTPS и перенаправление с HTTP на HTTPS;
• установку строгой политики безопасности содержимого (Content Security Policy) с использованием одноразовых nonce для inline-скриптов;
• установку флагов Secure, HttpOnly и SameSite для файлов cookie, используемых сайтом;
• запрет на индексацию административной части Сайта и ограничение частоты автоматизированных обращений;
• проверку и санитизацию пользовательского ввода, экранирование выводимых данных, защиту форм от подделки запросов (CSRF-токены);
• ограничение доступа работников к персональным данным и разграничение прав доступа в административной панели;
• хранение данных на сервере, арендованном у хостинг-провайдера, с регулярным резервным копированием; условия трансграничной передачи определены в пункте 7.2 настоящей Политики;
• обязательство работников не разглашать персональные данные и не допускать их незаконной передачи третьим лицам. Незаконное использование и (или) передача компьютерной информации, содержащей персональные данные, образует состав преступления, предусмотренного статьёй 272.1 Уголовного кодекса Российской Федерации, с ответственностью вплоть до лишения свободы.

9.2. В случае инцидента, повлёкшего несанкционированный доступ, уничтожение, копирование, блокирование, модификацию или иное неправомерное воздействие на персональные данные, Оператор:

• незамедлительно принимает меры по устранению причин и последствий инцидента, а также по восстановлению целостности данных;
• в течение 24 часов с момента обнаружения направляет в Роскомнадзор первичное сообщение об инциденте;
• в течение 72 часов с момента обнаружения направляет в Роскомнадзор детализированное описание инцидента, принятых мер и количества затронутых субъектов персональных данных;
• уведомляет затронутых субъектов персональных данных о произошедшем инциденте в установленном законом порядке.

9.3. Оператор осуществляет оценку возможного вреда, который может быть причинен субъектам персональных данных в случае нарушения требований Федерального закона № 152-ФЗ, в соответствии с Требованиями, утверждёнными приказом Роскомнадзора от 27.10.2022 № 178, и оформляет результаты этой оценки внутренним документом, пересматривая оценку при изменении состава обрабатываемых данных, перечня обработчиков либо мер по обеспечению безопасности.

9.4. Оператор осуществляет внутренний контроль и аудит соответствия обработки персональных данных требованиям законодательства и настоящей Политики.

10. Сроки обработки и хранения персональных данных, порядок уничтожения

10.1. По достижении целей обработки или при утрате необходимости в их достижении персональные данные уничтожаются или обезличиваются.

10.2. Уничтожение персональных данных осуществляется путём удаления соответствующих записей из информационной системы и резервных копий базы данных, а также стирания с материальных носителей. По окончании срока хранения, если иное не предусмотрено законом, хранение допускается только после обезличивания персональных данных.

10.3. Если уничтожение персональных данных невозможно, Оператор осуществляет их блокирование с последующим уничтожением в срок, не превышающий шести месяцев с момента возникновения такой невозможности.

11. Файлы cookie и аналитические сервисы

11.1. Подробная информация об использовании файлов cookie, перечне сервисов, устанавливающих cookie, и порядке управления согласием приведена в Политике использования файлов cookie.

11.2. Аналитические и маркетинговые файлы cookie, а также встраиваемые сервисы (интерактивная карта, видеоэкскурсия) не загружаются до получения предварительного согласия пользователя. До получения согласия Оператор не получает идентификаторы пользователя, формируемые такими сервисами.

12. Ответственность и заключительные положения

12.1. Оператор несёт ответственность за нарушение требований законодательства при обработке персональных данных в соответствии с действующим законодательством Российской Федерации.

12.2. Ответственным за организацию обработки персональных данных в интересах Оператора является сам Оператор — Индивидуальный предприниматель Попова Людмила Григорьевна, выступающий в качестве оператора персональных данных в соответствии со статьёй 22.1 Федерального закона № 152-ФЗ. Обработка персональных данных осуществляется работниками отеля в объёме, необходимом для исполнения должностных обязанностей, на основании доступа к информационной системе, предоставленного Оператором.

12.3. Настоящая Политика подлежит изменению при изменении законодательства Российской Федерации, а также при изменении целей и порядка обработки персональных данных. Актуальная редакция Политики всегда размещена на Сайте по адресу https://cosmos-hotel.net/privacy/.

12.4. Вопросы, связанные с обработкой персональных данных, можно направить на адрес cosmoshotel.31@mail.ru или по телефону 8 (4722) 40-40-04.