Политика обработки персональных данных

1Общие положения

Настоящая политика обработки персональных данных составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые ООО «ИНАУТ» (ИНН 9727086328, ОГРН 1247700628581, адрес: 125284, г. Москва, вн.тер.г. муниципальный округ Беговой, ул. Беговая, д. 13, помещ. 6п), осуществляющим деятельность ресторана «InOut Bistro» (далее — Оператор).

1.1. Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Настоящая политика Оператора в отношении обработки персональных данных (далее — Политика) применяется к персональным данным посетителей веб-сайта https://inout.rest и лиц, обращающихся к Оператору по вопросам бронирования, заказов и услуг ресторана, в том числе по телефону, через мессенджеры, электронную почту и формы обратной связи. Политика не регулирует обработку персональных данных работников и соискателей. Политика также применяется к покупателям и получателям товаров, приобретаемых дистанционно на сайте, включая оформление, оплату и доставку заказов, самовывоз, возвраты и рассмотрение связанных с покупкой обращений.

2Основные понятия, используемые в Политике

2.1. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.2. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

2.3. Веб-сайт — совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети интернет по сетевому адресу https://www.inout.rest

2.4. Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных, и обеспечивающих их обработку информационных технологий и технических средств.

2.5. Обезличивание персональных данных — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному Пользователю или иному субъекту персональных данных.

2.6. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.7. Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.8. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому Пользователю, в том числе лицу, обратившемуся к Оператору через веб-сайт https://www.inout.rest, мессенджеры, по телефону или иными способами электронного взаимодействия.

2.9. Персональные данные, разрешенные субъектом персональных данных для распространения — персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Законом о персональных данных (далее — персональные данные, разрешенные для распространения).

2.10. Пользователь — любое лицо, посетившее веб-сайт https://www.inout.rest, а также любое лицо, вступившее во взаимодействие с Оператором посредством электронных каналов связи, включая, но не ограничиваясь, мессенджерами, электронной почтой, формами обратной связи или иными средствами коммуникации.

2.11. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.12. Распространение персональных данных — любые действия, направленные на раскрытие персональных данных неопределенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

2.13. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

2.14. Уничтожение персональных данных — любые действия, в результате которых персональные данные уничтожаются безвозвратно с невозможностью дальнейшего восстановления содержания персональных данных в информационной системе персональных данных и (или) уничтожаются материальные носители персональных данных.

3Основные права и обязанности Оператора

3.1. Оператор имеет право:

• получать от субъекта персональных данных достоверную информацию и/или документы, содержащие персональные данные, только в объеме, необходимом для заявленной цели и при наличии законного основания;
• в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных;
• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами.

3.2. Оператор обязан:

• предоставлять субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных;
• организовывать обработку персональных данных в порядке, установленном действующим законодательством РФ;
• отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
• сообщать в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Этот срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления о причинах продления;
• публиковать настоящую Политику и сведения о реализуемых требованиях к защите персональных данных, обеспечивать свободный доступ к ним, в том числе на страницах сайта, на которых осуществляется сбор персональных данных;
• принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• прекратить передачу (распространение, предоставление, доступ) персональных данных, прекратить обработку и уничтожить персональные данные в порядке и случаях, предусмотренных Законом о персональных данных;
• исполнять иные обязанности, предусмотренные Законом о персональных данных.

3.3. До начала обработки Оператор направляет уведомление в Роскомнадзор, если отсутствует предусмотренное частью 2 статьи 22 Закона о персональных данных исключение. Изменения сведений сообщаются не позднее 15-го числа месяца, следующего за месяцем их возникновения; прекращение обработки — в течение 10 рабочих дней с даты прекращения.

3.4. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента Оператором, Роскомнадзором или иным заинтересованным лицом, а о результатах внутреннего расследования — в течение 72 часов с того же момента. Уведомления содержат сведения, предусмотренные частью 3.1 статьи 21 Закона о персональных данных.

4Основные права и обязанности субъектов персональных данных

4.1. Субъекты персональных данных имеют право:

• получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
• требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;

–требовать предварительного согласия на обработку персональных данных в целях продвижения товаров, работ и услуг и немедленного прекращения такой обработки по своему требованию;

• на отзыв согласия на обработку персональных данных и на предъявление требования о прекращении обработки персональных данных;
• обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных;
• на осуществление иных прав, предусмотренных законодательством РФ.

4.2. Субъекты персональных данных обязаны предоставлять Оператору достоверные данные о себе и совершать иные действия, предусмотренные законодательством РФ.

4.3. При передаче Оператору данных другого лица Пользователь должен иметь законное основание для такой передачи. Оператор самостоятельно проверяет наличие основания для обработки полученных данных и выполняет обязанности перед субъектом, предусмотренные статьей 18 Закона о персональных данных.

4.4. Обращения направляются по адресу inout.rest@mail.ru либо почтовому адресу Оператора. Запрос о доступе к персональным данным оформляется с учетом части 3 статьи 14 Закона о персональных данных: указываются реквизиты основного документа, удостоверяющего личность, сведения об отношениях с Оператором либо иные сведения, подтверждающие факт обработки, и подпись субъекта или представителя; электронный запрос подписывается электронной подписью в соответствии с законодательством. Копия паспорта по общему правилу не требуется. При отзыве согласия достаточно сведений, позволяющих определить заявителя и соответствующие данные; при обоснованных сомнениях Оператор запрашивает только необходимые сведения для подтверждения личности.

4.5. Информация об обработке предоставляется в течение 10 рабочих дней со дня обращения или получения запроса. Продление возможно не более чем на 5 рабочих дней с направлением мотивированного уведомления. Подтвержденные неточные данные исправляются в течение 7 рабочих дней. Незаконно полученные или не нужные для заявленной цели данные уничтожаются в течение 7 рабочих дней со дня представления субъектом или его представителем подтверждающих сведений. О внесенных изменениях и принятых мерах Оператор уведомляет заявителя и принимает разумные меры для уведомления получателей данных.

4.6. По требованию о прекращении обработки Оператор прекращает ее в течение 10 рабочих дней; срок может быть продлен не более чем на 5 рабочих дней с мотивированным уведомлением, кроме случаев, когда обработка допускается без согласия на основаниях, перечисленных в части 5.1 статьи 21 Закона о персональных данных. При выявлении неправомерной обработки по обращению или запросу данные блокируются на период проверки; неправомерная обработка прекращается не позднее 3 рабочих дней с даты выявления, а если обеспечить ее правомерность невозможно, данные уничтожаются не позднее 10 рабочих дней с этой даты. Для подтвержденных неточных данных блокирование применяется, если оно не нарушает права и законные интересы субъекта или третьих лиц.

5Оператор может обрабатывать следующие персональные данные Пользователя

5.1. Фамилия, имя, отчество — в объеме, необходимом для соответствующей цели; отчество указывается при наличии и необходимости.

5.2. Электронный адрес.

5.3. Номера телефонов.

5.4. Файлы cookie и аналогичные идентификаторы, IP-адрес, сведения о браузере и устройстве, времени посещения, просмотренных страницах и действиях на сайте относятся к персональным данным, если позволяют прямо или косвенно определить Пользователя. Само по себе отсутствие имени Пользователя не означает обезличивания данных.

5.4.1. Сведения об обращении, бронировании и заказе обрабатываются в пределах конкретной цели по разделу 7 настоящей Политики. Пользователю не следует указывать в свободных полях паспортные, платежные и иные избыточные сведения, данные о здоровье или других лицах, если для этого отсутствует отдельное законное основание.

5.4.2. Для оформления и исполнения покупки товаров дополнительно обрабатываются адрес и инструкции по доставке, имя и необходимые контакты получателя, номер и состав заказа, количество и стоимость товаров, выбранные способы получения и оплаты, статус оплаты без полных реквизитов платежной карты, сведения о передаче, возврате и относящаяся к заказу переписка. Конкретный объем определяется способом получения; при самовывозе адрес доставки не запрашивается. Банковские реквизиты для возврата средств запрашиваются только при необходимости.

5.5. Вышеперечисленные данные далее по тексту Политики объединены общим понятием Персональные данные.

5.6. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрических данных для установления личности через общедоступные формы сайта не предусматривается. Такая обработка при возникновении необходимости допускается только на отдельном основании с соблюдением статей 10 и 11 Закона о персональных данных.

5.7. Настоящая Политика и обычное согласие на обработку данных не разрешают распространение персональных данных. При наличии цели публикации сведений о конкретном лице Оператор получает отдельное согласие по статье 10.1 Закона о персональных данных, если иное прямо не предусмотрено законом; для специальных категорий дополнительно соблюдаются требования статьи 10 указанного Закона.

5.8. Согласие Пользователя на обработку персональных данных, разрешенных для распространения, оформляется отдельно от других согласий на обработку его персональных данных. При этом соблюдаются условия, предусмотренные, в частности, ст. 10.1 Закона о персональных данных. Требования к содержанию такого согласия устанавливаются уполномоченным органом по защите прав субъектов персональных данных.

5.8.1 Согласие на обработку персональных данных, разрешенных для распространения, Пользователь предоставляет Оператору непосредственно.

5.8.2 Оператор обязан в срок не позднее трех рабочих дней с момента получения указанного согласия Пользователя опубликовать информацию об условиях обработки, о наличии запретов и условий на обработку неограниченным кругом лиц персональных данных, разрешенных для распространения.

5.8.3 Передача (распространение, предоставление, доступ) персональных данных, разрешенных субъектом персональных данных для распространения, должна быть прекращена в любое время по требованию субъекта персональных данных. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта персональных данных, а также перечень персональных данных, обработка которых подлежит прекращению. Указанные в данном требовании персональные данные могут обрабатываться только Оператором, которому оно направлено.

5.8.4 Согласие на обработку персональных данных, разрешенных для распространения, прекращает свое действие с момента поступления Оператору требования, указанного в п. 5.8.3 настоящей Политики в отношении обработки персональных данных.

6Принципы обработки персональных данных

6.1. Обработка персональных данных осуществляется на законной и справедливой основе.

6.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

6.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

6.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

6.5. Содержание и объем обрабатываемых персональных данных соответствуют заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки.

6.6. При обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор принимает необходимые меры и/или обеспечивает их принятие по удалению или уточнению неполных или неточных данных.

6.7. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

7Цели обработки персональных данных

7.1. Цели обработки персональных данных Пользователя — рассмотрение обращений и обратная связь, бронирование, заключение и исполнение договоров об оказании услуг ресторана, обеспечение работы и безопасности сайта https://inout.rest, а также взаимодействие с Пользователем через электронные каналы связи, включая мессенджеры, формы обратной связи и иные средства коммуникации. Данные не используются для несовместимых целей. Дополнительная цель — заключение и исполнение договоров дистанционной розничной купли-продажи товаров, включая организацию доставки и возврата, в пределах пункта 7.5.1 настоящей Политики.

7.2. Оператор направляет рекламные сообщения о продуктах, услугах, специальных предложениях и событиях только при наличии предварительного согласия на получение рекламы и согласия на обработку персональных данных для продвижения товаров и услуг, оформленных отдельно от иных подтверждаемых Пользователем документов. Отказ от рекламы не влияет на обслуживание. По требованию Пользователя рекламная рассылка и обработка данных в целях продвижения прекращаются немедленно. Требование можно направить на inout.rest@mail.ru или воспользоваться способом отказа, указанным в сообщении. Сервисные сообщения по конкретной заявке не должны содержать рекламу без такого согласия.

7.3. Аналитические cookie и сервисы интернет-статистики используются для анализа посещаемости и улучшения сайта только после отдельного согласия Пользователя. До его получения аналитические средства не активируются. Отказ от аналитики не препятствует доступу к основным функциям сайта. Согласие можно отозвать через доступные настройки cookie либо обращением к Оператору. Настройки браузера, продолжение просмотра сайта и включенный JavaScript сами по себе не подтверждают согласия.

7.4. Рассмотрение обращений и обратная связь. Субъекты — Пользователи, направившие обращение. Обрабатываются обычные персональные данные: имя, фамилия и отчество, если указаны, выбранные контактные данные (телефон и/или электронная почта), тема и текст обращения в объеме сведений о запрашиваемой услуге, дата обращения и содержание ответа. Основание — отдельное согласие (пункт 1 части 1 статьи 6 Закона о персональных данных), а для обращения о заключении или исполнении договора — пункт 5 части 1 статьи 6 указанного Закона. Способ — автоматизированная и, при необходимости, неавтоматизированная обработка. Срок — до завершения рассмотрения обращения и предоставления ответа, а для договорных обращений — в пределах срока, указанного для договорной обработки. После этого применяются правила прекращения обработки и уничтожения данных.

7.5. Бронирование и оказание услуг. Субъекты — Пользователи, инициирующие заключение договора, заказчики и получатели услуг. Обрабатываются обычные персональные данные: имя, фамилия и отчество, если необходимы и указаны, телефон и/или электронная почта, сведения о бронировании и заказе (дата, время, количество гостей, выбранные услуги), переписка по исполнению заказа; иные сведения допускаются лишь в объеме, требуемом законом для конкретной операции. Основание — пункт 5 части 1 статьи 6 Закона о персональных данных; для обязательного учета и хранения документов — пункт 2 части 1 статьи 6 указанного Закона и применимые требования законодательства. Способ — автоматизированная и неавтоматизированная обработка. Срок — до исполнения обязательств, а для документов обязательного хранения — в течение срока, установленного применимым законом. При возникновении спора необходимые данные могут сохраняться для защиты прав на самостоятельном законном основании до завершения соответствующих процедур; это не продлевает хранение остальных данных.

7.5.1. Дистанционная продажа и доставка товаров. Субъекты — лица, инициирующие покупку, покупатели и получатели товаров, в том числе выгодоприобретатели по договору. Цель — оформление и исполнение заказа, организация оплаты, доставки по адресу покупателя либо самовывоза, информирование о заказе, прием возвратов и рассмотрение требований по покупке. Обрабатываются обычные персональные данные, перечисленные в пунктах 5.1–5.3 и 5.4.2, только в необходимом объеме. Основания — пункт 5 части 1 статьи 6 Закона о персональных данных; пункт 2 части 1 статьи 6 — для обязательного учета и хранения; пункт 1 части 1 и часть 3 статьи 6 — для обработки по поручению с согласия субъекта, когда оно требуется. Способ — автоматизированная и неавтоматизированная обработка. Срок — до исполнения заказа, завершения доставки и связанных с ним возвратов и требований; документы обязательного хранения сохраняются в течение установленного законом срока. Для защиты прав необходимые данные могут обрабатываться на самостоятельном законном основании до завершения соответствующего спора, без продления хранения остальных сведений. После достижения цели применяются пункты 9.9 и 9.10 настоящей Политики.

7.6. Анализ посещаемости и улучшение сайта. Субъекты — посетители сайта, давшие отдельное согласие на аналитику. Обрабатываются обычные персональные данные: cookie и аналогичные идентификаторы, IP-адрес, сведения о браузере и устройстве, времени посещения, просмотренных страницах и действиях на сайте. Основание — пункт 1 части 1 статьи 6 Закона о персональных данных. Способ — автоматизированная обработка. Срок хранения идентифицируемых сведений — до формирования статистического отчета за период, для анализа которого они собраны, но не дольше срока действия согласия; при отзыве согласия применяются установленные законом сроки прекращения обработки и уничтожения. Для дальнейшей оценки посещаемости используются только итоговые статистические показатели, не позволяющие определить конкретного посетителя.

7.7. Рекламные рассылки. Субъекты — Пользователи, предоставившие необходимые отдельные согласия. Обрабатываются обычные персональные данные: имя, если указано, телефон и/или электронная почта для выбранного канала рассылки, сведения /о предоставлении и отзыве согласий. Основания — пункт 1 части 1 статьи 6 и статья 15 Закона о персональных данных, статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе». Способ — автоматизированная и, при необходимости, неавтоматизированная обработка. Срок использования данных для рассылки — до отзыва согласия, истечения его срока либо прекращения соответствующей рассылки, в зависимости от того, что наступит раньше. По требованию Пользователя рассылка и обработка в целях продвижения прекращаются немедленно; далее применяются правила уничтожения данных.

7.8. Обеспечение работы и безопасности сайта. Субъекты — посетители сайта. Обрабатываются обычные персональные данные: технически необходимые cookie, IP-адрес, сведения о браузере и устройстве, времени доступа и событиях безопасности. Основание — пункт 7 части 1 статьи 6 Закона о персональных данных при условии соблюдения прав и свобод Пользователя, а для функций, необходимых для заключения и исполнения договора, — пункт 5 части 1 статьи 6 указанного Закона. Способ — автоматизированная обработка. Технические идентификаторы хранятся до завершения соответствующего сеанса или выполнения запрошенной функции; записи о выявленном нарушении безопасности — на период проверки и устранения его последствий. Продление хранения допускается только на самостоятельном законном основании.

8Правовые основания обработки персональных данных

8.1. Правовыми основаниями обработки персональных данных Оператором являются:

• пункт 5 части 1 статьи 6 Закона о персональных данных — заключение договора по инициативе субъекта и исполнение договора, стороной, выгодоприобретателем или поручителем по которому он является;
• пункт 2 части 1 статьи 6 Закона о персональных данных — выполнение обязанностей, установленных законодательством Российской Федерации; пункт 7 части 1 статьи 6 указанного Закона — осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта;
• согласия Пользователей на обработку их персональных данных, на обработку персональных данных, разрешенных для распространения.

8.2. Оператор обрабатывает персональные данные Пользователя при наличии соответствующего цели законного основания. Данные для обращений и бронирований предоставляются Пользователем самостоятельно — путём обращения по телефону, посредством мессенджера WhatsApp или иными доступными способами электронного взаимодействия. Ознакомление с Политикой, отправка сообщения и посещение сайта сами по себе не являются согласием на обработку данных. Когда требуется согласие, оно оформляется отдельно от иной информации и документов в форме, позволяющей подтвердить его получение, содержание и дату.

8.3. Технически необходимые cookie используются только в объеме, необходимом для работы запрошенных Пользователем функций и безопасности сайта, при наличии применимого основания по статье 6 Закона о персональных данных. Они не используются для рекламы или аналитики без отдельного основания.

8.4. Субъект персональных данных самостоятельно принимает решение о предоставлении его персональных данных и дает согласие свободно, своей волей и в своем интересе. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оператор сохраняет доказательства его получения. Отказ от необязательной обработки не может быть условием отказа в оказании услуг; данные, необходимые для договора или выполнения требований закона, обрабатываются на соответствующем самостоятельном основании.

9Порядок сбора, хранения, передачи и других видов обработки персональных данных

Безопасность персональных данных, которые обрабатываются Оператором, обеспечивается путем реализации правовых, организационных и технических мер, необходимых для выполнения в полном объеме требований действующего законодательства в области защиты персональных данных.

9.1. Оператор обеспечивает сохранность персональных данных и принимает необходимые правовые, организационные и технические меры для предотвращения доступа к персональным данным неуполномоченных лиц.

9.1.1. Оператор назначает ответственного за организацию обработки персональных данных, устанавливает права доступа по служебной необходимости, обеспечивает учет и контроль доступа, защиту информационных систем и носителей, оценку угроз и вреда, внутренний контроль, обучение допущенных работников и восстановление данных, измененных или уничтоженных вследствие несанкционированного доступа. Конкретные меры определяются с учетом характера данных и актуальных угроз в соответствии со статьями 18.1 и 19 Закона о персональных данных.

9.2. Персональные данные передаются третьим лицам только при наличии предусмотренного законом основания и в объеме, необходимом для конкретной цели. Уполномоченным органам сведения предоставляются в пределах их законных полномочий. Публикация и иное раскрытие неопределенному кругу лиц допускаются только на отдельном законном основании.

9.2.1. Для технического размещения и сопровождения сайта, приема и обработки обращений и бронирований, обеспечения связи, а при наличии необходимых согласий — для рассылок и аналитики, Оператор вправе привлекать подрядчиков. Им предоставляется только необходимый для соответствующей цели объем данных. Поручение обработки оформляется договором по части 3 статьи 6 Закона о персональных данных и допускается с согласия субъекта, если иное не предусмотрено федеральным законом. Поручение определяет данные, операции, цели, требования к конфиденциальности, защите, локализации, подтверждению соблюдения требований и уведомлению Оператора об инцидентах. Сведения о лицах, обрабатывающих данные по поручению Оператора, предоставляются субъекту в порядке статьи 14 указанного Закона. Общие положения настоящей Политики не заменяют согласие на поручение обработки, когда оно требуется.

9.2.2. Для исполнения заказов Оператор вправе передавать данные любым привлекаемым службам доставки, курьерским, транспортным и транспортно-экспедиционным организациям, операторам почтовой связи и иным исполнителям доставки. Перечень не является закрытым. Передача ограничивается выбранным заказом и необходима для оформления отправления, связи с получателем, вручения, подтверждения доставки и организации возврата. Передаются только необходимые имя, фамилия и отчество получателя при необходимости, телефон, электронная почта при необходимости, адрес и инструкции доставки, номер заказа, состав, стоимость и параметры отправления в необходимой для доставки части. Полные реквизиты карты, сведения о других заказах, рекламные предпочтения и текст посторонних обращений не передаются.

До передачи данных сведения о конкретной службе доставки доводятся до покупателя и получателя в применимом порядке. Передача самостоятельному оператору производится при наличии основания по части 1 статьи 6 Закона о персональных данных, в том числе для исполнения договора с субъектом или в его пользу. Если исполнитель обрабатывает данные по поручению Оператора, применяются пункт 9.2.1 и отдельное согласие субъекта, когда оно требуется законом; до его получения сообщаются наименование и адрес соответствующего лица, цель, состав данных и операции. Смена исполнителя требует нового согласия, если она не охвачена ранее полученным согласием и отсутствует иное законное основание. При самовывозе данные внешней службе доставки не передаются.

Если получатель отличается от покупателя, Оператор самостоятельно определяет законное основание обработки его данных и выполняет обязанности по статье 18 Закона о персональных данных. Согласие покупателя на обработку его собственных данных не является согласием получателя. Положения о доставке не предоставляют права на рекламу, распространение данных или передачу сведений для несовместимых целей.

9.3. Сроки обработки и хранения определяются отдельно для каждой цели в разделе 7 настоящей Политики. Пользователь может в любой момент отозвать свое согласие на обработку персональных данных, направив Оператору уведомление посредством электронной почты на электронный адрес Оператора inout.rest@mail.ru либо по почтовому адресу Оператора. Рекомендуемая тема обращения — «Отзыв согласия на обработку персональных данных».

9.4. Если сторонний поставщик услуг самостоятельно определяет цели и способы обработки, он действует как самостоятельный оператор и обязан иметь собственное правовое основание. Если он обрабатывает данные по поручению Оператора, применяются требования пункта 9.2.1. Оператор несет установленную законом ответственность за свою обработку, законность передачи и действия лиц, которым поручена обработка; настоящая Политика не освобождает его от этой ответственности.

9.5. Установленные субъектом персональных данных запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) персональных данных, разрешенных для распространения, не действуют в случаях обработки персональных данных в государственных, общественных и иных публичных интересах, определенных законодательством РФ.

9.6. Оператор при обработке персональных данных обеспечивает конфиденциальность персональных данных.

9.7. Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

9.8. Основаниями прекращения обработки персональных данных являются достижение целей обработки персональных данных, истечение срока действия согласия субъекта персональных данных или отзыв согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных.

9.9. При достижении цели обработки либо отзыве согласия Оператор прекращает обработку и уничтожает данные в срок не более 30 дней с соответствующей даты, если отсутствует предусмотренное законом основание для продолжения обработки и не применяются исключения, установленные частями 4 и 5 статьи 21 Закона о персональных данных. Сохраняются только данные, необходимые для оставшейся законной цели, на срок, обусловленный этой целью. Обезличивание не заменяет уничтожение, когда закон требует уничтожить данные.

9.10. Электронные данные уничтожаются способом, исключающим восстановление их содержания, бумажные носители — путем физического уничтожения с невозможностью восстановления. Уничтожение охватывает копии и данные у лиц, действующих по поручению Оператора, и подтверждается документально в соответствии с частью 7 статьи 21 Закона о персональных данных. Если уничтожение в срок объективно невозможно, данные блокируются и уничтожаются не позднее шести месяцев, если иной срок не установлен федеральным законом.

9.11. При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение с использованием баз данных за пределами Российской Федерации не допускаются, кроме исключений, прямо установленных частью 5 статьи 18 Закона о персональных данных. Для указанных операций используются базы данных на территории Российской Федерации. Соблюдение правил трансграничной передачи не заменяет выполнение этого требования.

9.12. Обезличивание при его применении осуществляется на законном основании с соблюдением требований и методов, утвержденных приказом Роскомнадзора от 19.06.2025 № 140, в пределах сферы его действия. Оно не создает самостоятельного права использовать данные для несовместимых целей.

10Перечень действий, производимых Оператором с полученными персональными данными

10.1. Оператор в пределах соответствующей цели и правового основания осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных. Распространение допускается только при выполнении условий пункта 5.7 настоящей Политики.

10.2. Оператор осуществляет автоматизированную и неавтоматизированную обработку персональных данных с получением и/или передачей полученной информации по информационно-телекоммуникационным сетям или без таковой.

11Трансграничная передача персональных данных

11.1. До начала трансграничной передачи Оператор определяет ее правовое основание, цели, состав данных, получателей и государства назначения, получает от иностранных получателей сведения по части 5 статьи 12 Закона о персональных данных, оценивает соблюдение конфиденциальности и безопасность обработки и направляет в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу.

11.2. Передача в государства, включенные в установленный Роскомнадзором перечень обеспечивающих адекватную защиту, допускается после направления уведомления с учетом решений о запрете или ограничении передачи. Передача в государства, не включенные в этот перечень, не начинается до истечения срока рассмотрения уведомления, установленного частью 9 статьи 12 Закона о персональных данных, с учетом его приостановления при запросе дополнительных сведений, кроме предусмотренного законом случая защиты жизненно важных интересов. Согласие субъекта или наличие договора не отменяет уведомительный порядок, ограничения и требования локализации.

11.3. Решения Роскомнадзора о запрете или ограничении передачи обязательны для исполнения. При принятии такого решения Оператор обеспечивает уничтожение иностранным получателем ранее переданных данных в случаях, предусмотренных частью 14 статьи 12 Закона о персональных данных. Информация об осуществленной или предполагаемой трансграничной передаче предоставляется субъекту по его запросу. Настоящая Политика сама по себе не подтверждает факт осуществления такой передачи.

12Конфиденциальность персональных данных

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

13Заключительные положения

13.1. Пользователь может получить любые разъяснения по интересующим вопросам, касающимся обработки его персональных данных, обратившись к Оператору с помощью электронной почты inout.rest@mail.ru

13.2. В данном документе будут отражены любые изменения политики обработки персональных данных Оператором. Политика действует бессрочно до замены ее новой версией.

13.3. Актуальная версия Политики в свободном доступе расположена в сети Интернет по адресу https://inout.rest. Доступ к Политике обеспечивается также со страниц сбора данных. Изменение Политики не расширяет ранее предоставленное согласие и не разрешает обработку для новой несовместимой цели без надлежащего основания.