Политика конфиденциальности

Политика конфиденциальности в отношении обработки персональных данных пассажиров

Глава 1. ОБЩИЕ ПОЛОЖЕНИЯ

1. Область применения

1.1 Настоящее Положение «Политика конфиденциальности в отношении обработки персональных данных пассажиров» АО «КрасАвиа» (далее – Политика) в отношении обработки персональных данных разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) и устанавливает цели обработки персональных данных пассажиров. Авиакомпания является оператором персональных данных.

1.2 Политика действует в отношении всех персональных данных пассажиров, которые обрабатывает Авиакомпания.

1.3 Политика устанавливает условия и цели обработки персональных данных в авиакомпании, определяет меры защиты персональных данных. Политика распространяется на все договоры воздушной перевозки или иные договоры потребительского характера, заключенные субъектами персональных данных с авиакомпанией, как посредством покупки (авиабилетов и дополнительных услуг) на официальном сайте АО «КрасАвиа», так и при покупке через третьих лиц, осуществляющих продажу билетов и услуг авиакомпании.

1.4 Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных настоящая Политика является открытым документом, публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте https://www.krasavia.ru/politika-konfidencialnosti и предназначена для ознакомления неограниченному кругу лиц. Лица, заключающие договор воздушной перевозки или иной договор потребительского характера с авиакомпанией, до заключения договора внимательно ознакомились с настоящим документом и выразили свое согласие с его содержанием.

1.5 Политика конфиденциальности может быть изменена или прекращена Авиакомпанией в одностороннем порядке без предварительного уведомления пользователя сайта. Новая редакция политики конфиденциальности вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией Политики.

1.6 Под субъектами персональных данных Политики, понимаются пассажиры и иные лица, с которыми Авиакомпания заключила договоры воздушной перевозки пассажира или иной договор потребительского характера, а также лица имеющие намерения заключить указанные договоры с авиакомпанией, либо лица, в отношении которых третьи лица заключают указанные договоры с авиакомпанией.

1.7 Источником персональных данных, являются официальный сайт авиакомпании, любые обращения в авиакомпанию, документы, представленные субъектами персональных данных в авиакомпанию в соответствии с требованиями нормативных правовых актов, регулирующих порядок оказания услуг по воздушной перевозке. Персональные данные могут также поступать в авиакомпанию от третьих лиц (агентов, уполномоченных авиакомпанией на продажу билетов, а также лиц, осуществляющих продажу билетов на рейсы авиакомпании или действующих от имени и в интересах субъектов персональных данных (турагенты, работодатели и т.п.).

2. Нормативные ссылки

В настоящем документе использованы ссылки на следующие стандарты и документы:

Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных».
Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах».

3. Термины и определения

Авиакомпания – Акционерное общество «КрасАвиа».

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Безопасность персональных данных – состояние защищенности персональных данных, которое характеризуется способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке.

Доступ к персональным данным – возможность получения персональных данных и ознакомления с ними и/или их последующего использования.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Оператор персональных данных (Оператор) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

4. Права и обязанности Оператора

4.1 Оператор вправе:

получать документы, содержащие персональные данные от субъектов персональных данных либо от представителей субъекта персональных данных;
требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных;
в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных, оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, установленных законодательством Российской Федерации.

4.2 Оператор обязан:

осуществлять обработку персональных данных субъектов с соблюдением принципов и правил, предусмотренных действующим законодательством Российской Федерации о персональных данных и внутренними документами оператора в области обработки персональных данных;
сообщать субъекту персональных данных или его законному представителю по его запросу информацию о наличии у оператора персональных данных, относящихся к соответствующему субъекту персональных данных;
уведомлять субъектов персональных данных до начала обработки их персональных данных в случаях, если персональные данные получены не от субъекта персональных данных;
безвозмездно предоставить возможность ознакомления субъекта персональных данных или его законного представителя с персональными данными субъекта персональных данных при получении соответствующего запроса;
принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его либо его законного представителя обращением с законными и обоснованными требованиями.

Глава 2. ЦЕЛИ И ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1 Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

2.2 Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.

2.3 Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.

2.4 К обработке персональных данных допускаются работники Оператора, в должностные обязанности которых входит обработка персональных данных.

2.5 Авиакомпания использует полученные персональные данные в следующих целях:

2.5.1 Идентификация пользователя.

2.5.2 Оформление, исполнение и прекращение договора воздушной перевозки или иных договоров потребительского характера с авиакомпанией, а также информирование об изменениях в договоре (оформление и внесение изменений в авиабилеты и дополнительные услуги, осуществление платежей за перевозку и услуги).

2.5.3 Обеспечение авиационной безопасности, безопасности полетов и пассажиров.

2.5.4 Рассмотрение обращений, заявлений и жалоб пассажиров, включая обращения, полученные через форму обратной связи на официальном сайте Авиакомпании.

2.5.5 Страхование пассажиров.

2.5.6 Сбор статистических данных.

2.5.7 В маркетинговых и рекламных целях, среди которых маркетинговые исследования и аналитика, отправка рассылок через e-mail, SMS, в мессенджерах и социальных сетях, предоставление информации о продуктах и услугах, специальных предложениях и ценах, промо-акциях.

2.6 Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми оператор осуществляет обработку персональных данных, в том числе:

федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;
договоры, заключённые между Оператором и субъектами персональных данных;
согласие субъектов персональных данных на обработку их персональных данных;
во время визита посетителя на официальный сайт, Авиакомпания может собирать информацию об использовании информационных ресурсов, с применением файлов cookie. Сбор данной информации обусловлен технологическими особенностями работы указанных информационных ресурсов, носит временный характер и не направлен на сбор личной информации о посетителях сайта.

Глава 3. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ: ОБЪЁМ, КАТЕГОРИИ, ПОРЯДОК И УСЛОВИЯ, МЕРЫ ЗАЩИТЫ

1. Объём и категории обработки персональных данных

1.1 Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки, предусмотренным в главе 2 настоящей Политики. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

1.2 В качестве субъектов персональных данных в настоящей Политике рассматриваются:

пассажиры АО «КрасАвиа»;
лица, подписавшиеся на рассылку новостей, скидок и специальных предложений АО «КрасАвиа».

1.3 Авиакомпания обрабатывает следующие персональные данные пассажиров:

фамилия, имя, отчество;
дата и место рождения;
пол;
гражданство;
вид, номер, срок действия документа, удостоверяющего личность, по которому приобретается проездной документ (билет) и/или осуществляется пересечение государственных границ стран, включенных в маршрут;
пункт отправления, пункт назначения, вид маршрута следования (беспересадочный, транзитный);
дата поездки;
пол;
гражданство;
контактные данные;
телефон;
адрес электронной почты;
данные членов семьи и состояние здоровья.

1.4 Авиакомпания обрабатывает данные о состоянии здоровья пассажира в той мере, в которой это необходимо для заключения, исполнения или прекращения договора воздушной перевозки и рассмотрения обращений пассажиров, в частности:

при заказе дополнительных услуг, связанных с воздушной перевозкой пассажиров с ограниченными физическими возможностями;
при перевозке отдельных категорий пассажиров, когда в соответствии с действующим регулированием требуется наличие справки или иного медицинского документа об отсутствии противопоказаний к перелету по состоянию здоровья или в связи с беременностью;
в случаях причинения вреда жизни и здоровью, имевших место во время воздушной перевозки, в том числе для выплаты страхового возмещения;
при рассмотрении обращений и претензий пассажиров, связанных с имущественными вопросами и состоянием их здоровья.

1.5 В указанных случаях получение и обработка соответствующей информации о состоянии здоровья необходима для предотвращения причинения вреда жизни и здоровью и надлежащего исполнения договора воздушной перевозки или иного договора потребительского характера, либо его прекращения.

1.6 Авиакомпания не обрабатывает данные о состоянии здоровья пассажира, за исключением указанных выше случаев.

2. Порядок и условия обработки персональных данных

2.1 Оператор осуществляет обработку персональных данных для каждой цели их обработки следующими способами:

неавтоматизированная обработка персональных данных;
автоматизированная обработка персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой;
смешанная обработка персональных данных.

2.2 Для заключения и исполнения договора воздушной перевозки пассажира или иного договора потребительского характера, Авиакомпания вправе передавать персональные данные третьим лицам, участвующим в исполнении договора. В частности, Авиакомпания может передавать сведения о пассажирах оператору аэропорта отправления в целях регистрации пассажиров и оформления багажа, либо сведения о неприбытии багажа оператору аэропорта прибытия и в специализированные системы по поиску багажа, а также другому перевозчику, которому Авиакомпания поручает перевозку пассажира в случае отсутствия возможности выполнить перевозку самостоятельно.

2.3 Для обработки персональных данных, в том числе хранения, используются базы данных, находящиеся на территории Российской Федерации в соответствии с ч.5 ст.18 Федерального закона «О персональных данных».

2.4 Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требует каждая цель обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

2.5 Персональные данные пассажира могут быть раскрыты по запросу суда и органов принудительного исполнения судебных решений, правоохранительных и других органов власти Российской Федерации и стран вылета/прилета, согласно нормам действующего законодательства, в области регулирования обработки персональных данных.

2.6 Условия и сроки уничтожения персональных данных Оператором:

достижение цели обработки персональных данных либо утрата необходимости достигать эту цель - в течение 30 дней;
достижение максимальных сроков хранения документов, содержащих персональные данные, - в течение 30 дней;
предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, - в течение семи рабочих дней;
отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, - в течение 30 дней.

2.7 При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.

2.8 Авиакомпания может хранить сведения о договорах и после их исполнения, в целях разрешения возможных будущих споров с субъектами персональных данных или третьими лицами, действующими от их имени или в их интересах.

2.9 Способы уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.

3. Меры, принимаемые оператором при обработке персональных данных

3.1 Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, распространения и других несанкционированных действий, в том числе:

назначение лица, ответственного за организацию обработки персональных данных в Компании;
принятие локальных нормативных документов, регулирующих вопросы обработки и защиты персональных данных;
публикация настоящей Политики на своём официальном сайте, обеспечивая неограниченный доступ к ней, а также к сведениям о реализуемых требованиях к защите персональных данных, не относящихся к сведениям конфиденциального характера;
применение правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
осуществление внутреннего контроля соответствия обработки персональных данных законодательству Российской Федерации о персональных данных, требованиям к защите персональных данных, настоящей Политике, локальным нормативным документам;
оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения оператором законодательства Российской Федерации о персональных данных и, исходя из указанной оценки, принятие решения о перечне мер, необходимых для обеспечения безопасности персональных данных;
ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных и локальных нормативных документов оператора о персональных данных, в том числе с требованиями к защите персональных данных, и обучение указанных работников;
при обработке персональных данных, осуществляемой без использования средств автоматизации, выполнение требований, установленных постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
уведомление в установленных законодательством Российской Федерации о персональных данных случаях уполномоченного органа по защите прав субъектов персональных данных об обработке (намерении осуществлять обработку) персональных данных;
осуществление обезличивания персональных данных, обрабатываемых в информационных системах персональных данных, а также прекращение обработки и уничтожение персональных данных в случаях, предусмотренных законодательством Российской Федерации о персональных данных;
при обработке персональных данных, осуществляемой в информационных системах персональных данных, выполнение требований, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах;
применение иных мер, предусмотренных законодательством Российской Федерации о персональных данных.

Глава 4. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1 В целях соблюдения прав и законных интересов субъектов персональных данных, требований к срокам обработки обращений и/или запросов, обеспечения качества и полноты принятия мер в отношении законного требования субъекта персональных данных и для предоставления необходимой информации по его обращению и/или запросу осуществляется прием и обработка обращений субъектов персональных данных.

4.2 Субъект (или его Представитель) имеет право направлять в Авиакомпанию запросы следующих типов:

получить информацию о своих персональных данных, хранящихся в Авиакомпании;
внести изменения в свои персональные данные в том случае, если они не соответствуют фактическим;
отозвать свое согласие на обработку персональных данных в тех случаях, когда такое согласие было дано, а обработка персональных данных поставлена в зависимость от наличия такого согласия.

4.3 Запрос может быть направлен в одной из двух форм:

письменная: запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных оператором, подпись субъекта персональных данных или его представителя. Авиакомпания обращает внимание, что оригиналы обращения и любых документов, поступивших с обращением, не возвращаются;
электронная форма: запрос может быть направлен в форме электронного документа и подписан электронной подписью.

4.4 Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

подтверждение факта обработки персональных данных оператором;
правовые основания и цели обработки персональных данных;
цели и применяемые оператором способы обработки персональных данных;
наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с оператором или на основании федерального закона;
обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
сроки обработки персональных данных, в том числе сроки их хранения;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу.

4.5 Сроки и порядок рассмотрения запросов:

оператор обязан сообщить субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;
оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные;
оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение десяти рабочих дней с даты получения такого запроса.

4.6 Удаление персональных данных невозможно, если их наличие необходимо для исполнения договора воздушной перевозки или иного договора потребительского характера, обеспечения авиационной безопасности, а также если Авиакомпания хранит персональные данные в силу требований закона.

4.7 В рамках защиты персональных данных Авиакомпания предпринимает меры, направленные на предотвращение их случайного или несанкционированного уничтожения, случайной потери, а также на предотвращение несанкционированного доступа, изменения или распространения персональных данных.

4.8 Авиакомпания несет ответственность только за работу сайта: krasavia.ru. Авиакомпания не несет ответственность за обработку персональных данных владельцами других веб-сайтов, даже если на такой сайт ведет ссылка с сайта Авиакомпании.

4.9 В целях защиты от несанкционированного доступа к персональным данным, Авиакомпания не рекомендует сообщать посторонним лицам учетные данные пользователя (логин и пароль от личного кабинета на сайте Авиакомпании), информацию о бронировании, номер авиабилета и т.п.

4.10 Во время визита посетителя на официальный сайт, Авиакомпания может собирать информацию об использовании информационных ресурсов, с применением файлов cookie. Сбор данной информации обусловлен технологическими особенностями работы указанных информационных ресурсов, носит временный характер и не направлен на сбор личной информации о посетителях сайта.

Глава 5. СОГЛАСИЕ НА ОБРАБОТКУ ПЕРСОНАЛЬНЫХ ДАННЫХ

Согласие на обработку персональных данных при обращении через официальный сайт АО «КрасАвиа» имеет следующее содержание:

5.1 Я даю свое согласие АО «КрасАвиа» на обработку своих персональных данных (с использованием средств автоматизации или без), представленных в обращении, направленном посредством официального сайта Авиакомпании, включая сбор, запись, систематизацию, накопление, хранение, выгрузку, использование, обезличивание и удаление персональных данных.

5.2 Я даю своё согласие АО «КрасАвиа» на обработку своих персональных данных в маркетинговых и рекламных целях, а также на получение рассылок от АО «КрасАвиа» посредством электронной почты, телефонных обращений, сообщений в мессенджерах и социальных сетях.

5.3 Согласие предоставляется с момента отметки о прочтении данной Политики пользователем, до дня отзыва согласия в письменной форме.

5.4 Настоящим подтверждаю, что, давая согласие, я действую без принуждения, по собственной воле и в своих интересах и/или в интересах своих несовершеннолетних детей.