Политика конфиденциальности

1. Общие положения

Политика конфиденциальности объясняет, как «LUX HOSPITALITY» SRL (далее «Компания» или «Оператор») собирает, использует, хранит и защищает персональные данные.

Политика распространяется на обработку данных в связи с использованием официального сайта, мобильных и онлайн-сервисов, систем бронирования, электронной почты, телефонной связи, социальных сетей и сервисов обмена сообщениями Компании, а также в случае личных посещений и получения услуг, предлагаемых Компанией.

Политика была подготовлена ​​в соответствии с Законом Республики Молдова №. 195/2024 о защите персональных данных и другие применимые нормативные акты Республики Молдова. В случаях, когда деятельность Компании подпадает под действие Регламента (ЕС) 2016/679 (GDPR), соответствующая обработка также осуществляется в соответствии с GDPR.

Политика охватывает деятельность Компании по следующим направлениям:

• гостиничные услуги и сопутствующие услуги для гостей
• ресторан
• салон красоты
• СПА-услуги, процедуры по уходу за телом (не являющиеся медицинскими услугами)
• организация и ведение мероприятий
• предоставление конференц-залов и других помещений
• программы лояльности, подарочные карты, кампании и маркетинговые коммуникации
• обеспечение безопасности объекта, включая контроль доступа и видеонаблюдение.

Если для определенного домена, услуги или мероприятия требуется дополнительная информация, Компания предоставляет краткое специальное уведомление, которое применяется в сочетании с настоящей Политикой.

2. Информация об операторе

Запросы относительно реализации прав субъектов данных необходимо отправлять на адрес dpo@nobil.md / dpo@luxhospitality.md или на почтовый адрес Компании. Контакт it@nobil.md предназначен для уведомлений о технической и информационной безопасности и не заменяет канал реализации прав субъектов данных.

3. На кого распространяется Политика

Политика распространяется на пользователей сайта и онлайн-сервисов, клиентов и потенциальных клиентов, гостей отелей, ресторанов, салонов красоты и SPA, клиентов и участников мероприятий, представителей партнеров, посетителей объектов Компании, сотрудников, кандидатов на работу, а также иных лиц, взаимодействующих с Компанией.

Обработка данных сотрудников регламентируется внутренними уведомлениями и отдельными документами Компании. Кандидатам на должности может быть предоставлено отдельное уведомление при получении резюме.

4. Категории персональных данных

4.1. Пользователи сайта и онлайн-сервисов

• IP-адрес, идентификаторы устройства и сеанса
• тип устройства, операционная система, настройки браузера и языка
• посещенные страницы, дата, время и продолжительность посещения
• справочный источник, действия сайта, технические журналы
• файлы cookie и другие онлайн-идентификаторы
• данные, введенные в веб-формы, чаты или другие каналы связи.

4.2. Гостиничные услуги

• имя, фамилия, контактные и идентификационные данные
• сведения о документе, необходимые для регистрации и соответствия требованиям законодательства
• период проживания, тип номера, количество и состав гостей
• история бронирования, изменения, отмены, запросы и жалобы
• предпочтения и особые пожелания
• транспортное средство и доступ к информации при необходимости
• данные контракта, выставления счетов и платежей.

4.3. Ресторан

• имя и контактные данные лица, осуществляющего бронирование или заказ
• дата, время, количество гостей, заказ и информация о мероприятии
• предпочтения в еде
• информация об аллергиях и диетических ограничениях, добровольно предоставленная для безопасного обслуживания

4.4. Салон красоты и СПА

• имя, контактные данные и информация о встрече
• выбранные процедуры и предпочтения
• информация о противопоказаниях, аллергии, беременности, состоянии здоровья или других обстоятельствах, если это необходимо для безопасного оказания выбранной услуги
• анкеты клиентов, подтверждения осведомленности о противопоказаниях и согласиях
• информация о платеже,

4.5. Мероприятия и конференц-залы

• данные клиента, организатора и их представителей
• договорные, финансовые и контактные данные
• информация о мероприятии, участниках, проживании, питании и технических требованиях
• список участников и гостей, если предоставлен организатором
• информация о доступе и разрешениях.

4.6. Партнеры и представители организаций

• имя, фамилия, должность и организация
• контактные данные службы
• договорная переписка и доверенности
• информация об услугах, счетах, платежах и расчетах
• учетные данные для доступа к системам Компании, если это необходимо и разрешено.

4.7. Видеонаблюдение и контроль доступа

• изображение, дата, время и местоположение в контролируемой зоне
• Идентификационные данные, информация о въезде и выезде
• материалы, связанные с инцидентами безопасности.

4.8. Оплата

В зависимости от способа оплаты Компания может обрабатывать имя плательщика, уплаченную сумму, дату, цель, банковский счет/IBAN, платежный адрес, идентификатор и статус транзакции. Полные данные банковской карты обычно обрабатываются банком или платежной системой; Компания получает ограниченную информацию, необходимую для подтверждения и регистрации платежа.

4.9. Телефонные разговоры

В случае обращения на ресепшн или другие официальные телефонные линии Компании могут обрабатываться голос, номер телефона, дата, время и продолжительность звонка, а также информация, добровольно предоставленная во время разговора, включая имя, детали бронирования, заказа, запроса или жалобы. Компания не запрашивает лишнюю информацию по телефону и не рекомендует предоставлять данные, не связанные с целью контакта.

5. Цели, данные и правовая основа

Компания обрабатывает данные только при наличии применимого правового основания. Согласие не является единственным основанием и не требуется, если обработка необходима для заключения договора или выполнения обязательства, предусмотренного законом.

Когда Компания опирается на законный интерес, она оценивает необходимость и соразмерность обработки и принимает во внимание права и разумные ожидания субъектов данных. Субъект данных имеет право возражать против такой обработки в случаях, предусмотренных законом.

6. Особые категории персональных данных

При оказании ресторанных, гостиничных, салонных и СПА-услуг клиент может добровольно сообщить информацию о здоровье, аллергии, инвалидности, беременности, противопоказаниях, религиозных или диетических ограничениях. Компания:

• не собирает такую ​​информацию автоматически или «на всякий случай»
• запрашивает только информацию, объективно необходимую для безопасного предоставления конкретной услуги
• обеспечивает доступ только тем сотрудникам и специалистам по контракту, которым необходимы эти данные
• не использует эту информацию в несовместимых целях или рекламе без отдельного основания.
• удаляет или обезличивает информацию после истечения установленного срока
• при необходимости получает четкое, конкретное и информированное согласие субъекта.

Отзыв согласия не влияет на законность обработки, выполненной до отзыва. Если без определенной информации процедура не может быть выполнена безопасно, Компания может отказаться от этой процедуры, предоставив доступную безопасную альтернативу.

7. Источники сбора данных

Компания получает данные непосредственно от субъекта и, в зависимости от ситуации:

• от человека, бронирующего для других гостей
• от работодателя, корпоративного клиента, турагента или организатора мероприятий
• через платформы бронирования отелей и туристов и другие подобные платформы
• от платежных организаций и банков
• из государственных реестров и открытых правовых источников
• автоматически при использовании сайта и систем Компании.

Лицо, передающее Обществу данные других лиц, должно иметь законное основание для такой передачи и информировать их. Компания предоставляет субъектам обязательную информацию на условиях и в сроки, установленные законодательством, за исключением случаев, предусмотренных законодательством.

8. Обязанность предоставления данных

Данные, необходимые для заключения и исполнения договора, регистрации гостя, оплаты или выполнения предусмотренного законом обязательства, являются обязательными для соответствующей операции. Без них Компания не сможет подтвердить бронирование или предоставить услугу. Предоставление дополнительных преференций и согласия на маркетинг является добровольным; отказ не влияет на получение основной услуги.

9. Бенефициары и поставщики услуг

В случае необходимости и на законном основании доступ к данным или их передача могут осуществляться:

• работникам и уполномоченным подразделениям Общества
• поставщики услуг отелей, ресторанов, CRM, красоты/SPA и системы онлайн-бронирования
• операторы платформ бронирования и туристические партнеры
• банки и поставщики платежных услуг
• провайдеры хостинга, облачной инфраструктуры, электронной почты, связи и технической поддержки
• поставщики услуг безопасности и систем контроля доступа
• подрядчики мероприятий, включая технических поставщиков, фотографов и видеооператоров, когда это необходимо и законно
• бухгалтеры, аудиторы, страховщики, юристы и другие профессиональные консультанты
• правительственные, регулирующие, судебные и правоохранительные органы — в случае наличия юридического требования или обязательства.

Поставщики, которые обрабатывают данные по запросу Компании, связаны договорными требованиями в отношении конфиденциальности, безопасности и обработки только в соответствии с документально оформленными инструкциями Компании. В отдельных случаях получатель выступает в качестве независимого оператора и предоставляет собственное уведомление.

10. Международная передача данных

Некоторые поставщики облачных, коммуникационных, аналитических, платежных услуг или услуг бронирования могут обрабатывать данные за пределами Республики Молдова. Перед передачей Компания проверяет наличие механизма, предусмотренного законодательством, и применяет необходимые гарантии, включая решение о достаточном уровне защиты, стандартных договорных положениях, обязательных правилах или любых других разрешенных основаниях.

Когда обработка осуществляется в соответствии с GDPR, международный перевод дополнительно осуществляется в соответствии с требованиями Главы V GDPR. Информацию о конкретном механизме можно запросить по адресу dpo@nobil.md / dpo@luxhospitality.md; некоторая информация может быть ограничена в целях защиты коммерческой тайны и безопасности.

11. Сроки хранения

Компания хранит данные не дольше, чем это необходимо для соответствующей цели, принимая во внимание обязательные сроки хранения, сроки исковой давности, необходимость разрешения споров и защиты прав. Конкретные периоды указаны во внутреннем графике хранения.

По истечении срока данные удаляются, уничтожаются, необратимо анонимизируются или изолируются от обычного использования, если временное хранение требуется по закону или для защиты прав.

12. Видеонаблюдение и запись телефонных разговоров

12.1. Охранное видеонаблюдение

Видеонаблюдение используется для обеспечения безопасности гостей, посетителей и сотрудников, предотвращения и расследования происшествий, охраны имущества и контроля доступа. Это делается исходя из законного интереса Компании и третьих лиц с соблюдением принципов необходимости, пропорциональности, минимизации данных и прозрачности.

Видеонаблюдение не устанавливается в гостиничных номерах, туалетах, раздевалках, процедурных кабинетах и ​​других местах, где обоснованно ожидается повышенная конфиденциальность.

• перед входом в контролируемую зону отображаются понятные информационные указатели, позволяющие получить основную информацию об обработке и ознакомиться с настоящей Политикой.
• доступ к видеозаписям предоставляется только ограниченному кругу уполномоченных лиц в объеме, необходимом для выполнения ими своих обязанностей
• записи не используются для рекламы, оценки качества обслуживания или других несовместимых целей.
• Передача записей в государственные органы, суды или правоохранительные органы осуществляется только при наличии оснований, предусмотренных законом.
• видеонаблюдение не сопровождается аудиозаписью (звукозаписью).

Запрос на доступ к видеозаписи рассматривается с учетом прав и свобод других лиц, технической возможности проведения обыска и необходимости сохранения доказательств. Компания имеет право применять маскировку изображений к третьим лицам или предоставлять доступ иными способами, предусмотренными законодательством.

12.2. Запись телефонных разговоров (аудиозапись)

В целях документального оформления и подтверждения заявок, бронирования и заказов, предотвращения злоупотреблений, а также предупреждения и разрешения спорных ситуаций, контроля качества услуг Компания может осуществлять запись звонков, поступающих и совершенных по официальным телефонным линиям приемной.

Регистрация и дальнейшая обработка осуществляются только при наличии применимого правового основания, предусмотренного Законом Республики Молдова №. 195/2024 и, в зависимости от обстоятельств, GDPR: принятие мер до заключения договора по требованию лица, исполнения договора, законного интереса Компании после оценки необходимости и соразмерности или согласия заинтересованного лица. Компания определяет основание с учетом конкретной цели обработки и не использует согласие для замены другого подходящего основания.

• перед началом записи человек информируется автоматическим голосовым сообщением или, в случае инициированного звонка, другим четким устным уведомлением. Рекомендуемая формулировка: «Обратим ваше внимание: разговор может быть записан в целях документирования и подтверждения вашего запроса, разрешения спорных ситуаций и контроля качества услуг. Продолжая разговор, вы подтверждаете, что были проинформированы об обработке персональных данных. Подробная информация и альтернативные каналы связи доступны в Политике конфиденциальности на сайте Компании»
• если в конкретном случае правовым основанием является согласие, продолжение разговора после четкого предупреждения считается явным позитивным действием только при условии, что лицо может эффективно отказаться от записи без неблагоприятных последствий и использовать доступный альтернативный канал связи; факт и содержание уведомления документально оформляются
• человек, не желающий продолжать записанный разговор, может прервать звонок и использовать альтернативный канал, указанный Компанией: электронную почту, веб-форму на сайте или личный адрес. Альтернативный канал не должен чрезмерно уменьшать возможность получения основной услуги.
• во время разговора обрабатываются только данные, относящиеся к цели запроса; специальные категории данных не запрашиваются, если в этом нет объективной необходимости и нет специального правового основания
• доступ к аудиозаписям имеют только специально уполномоченные сотрудники и ИТ-администраторы, которым этот доступ необходим для выполнения своих должностных обязанностей; действия над записями подлежат мониторингу и, если это технически возможно, протоколированию
• Аудиозаписи не используются в рекламных или других несовместимых целях и не передаются третьим лицам, за исключением поставщиков услуг, действующих в соответствии с документально оформленными инструкциями Компании, профессиональных консультантов и органов, имеющих законное право на их получение.
• Записи хранятся в течение ограниченного периода времени, определяемого внутренней программой хранения, после чего они автоматически удаляются, за исключением случаев, когда конкретная запись необходима для выполнения юридического обязательства, расследования инцидента или установления, осуществления или защиты законных прав.
• Субъект данных может осуществлять права, предусмотренные разделами 18–19 настоящей Политики, в том числе запрашивать доступ к записи, которая его касается, с учетом прав третьих лиц и ограничений, предусмотренных законодательством.

13. Фотосъемка и видеосъемка мероприятий

Охранное видеонаблюдение отличается от фото- и видеосъемки мероприятий. Если Компания организует съемку в рекламных целях, для сайта или социальных сетей, участники информируются заранее, а при необходимости — у них запрашивается отдельное согласие. Заказ или участие в мероприятии сам по себе не означает согласия на использование изображения в рекламных целях.

Если съемку организует заказчик или независимый подрядчик, их роли и обязательства по защите данных определяются договором и фактическими целями обработки. Участникам предоставляется соответствующая информация.

14. Файлы cookie и аналогичные технологии

Сайт может использовать строго необходимые функциональные, аналитические и рекламные файлы cookie. Строго необходимые файлы cookie используются для работы и безопасности сайта. Аналитические, рекламные и другие необязательные файлы cookie активируются только после получения предварительного согласия, если этого требует закон.

Посетитель может принять или отказаться от некоторых категорий, а затем изменить свой выбор с помощью настроек файлов cookie. Отказ не должен препятствовать доступу к основному контенту сайта, за исключением функций, объективно зависящих от соответствующей технологии. Подробный список провайдеров, целей и продолжительности доступен в отдельной Политике использования файлов cookie и на панели настроек.

15. Маркетинговые сообщения

Компания отправляет сообщения прямого маркетинга только при наличии соответствующих оснований. Согласие на маркетинг является отдельным от согласия на получение основной услуги, предварительно не проверяется и может быть отозвано в любой момент. Каждое электронное маркетинговое сообщение содержит доступный способ бесплатного отказа от подписки. После отказа контакт можно сохранить в минимальном списке исключений, чтобы избежать повторной отправки.

16. Данные несовершеннолетних

Компания может обрабатывать информацию о несовершеннолетних гостях, когда это необходимо для бронирования, размещения, участия в мероприятиях или оказания услуги и разрешено законодательством. В зависимости от возраста несовершеннолетнего, характера услуги и применимого основания данные предоставляются законным представителем с его участием или обрабатываются на другом соответствующем основании. Если согласие требуется, Компания проверяет, кто обязан его предоставить согласно действующему законодательству, и принимает разумные меры для подтверждения полномочий законного представителя. Компания собирает только минимально необходимую информацию, не использует данные детей и применяет повышенные меры прозрачности и безопасности.

17. Автоматизированные решения

На момент написания настоящего текста Компания не принимает решения в отношении клиентов исключительно на основе автоматизированной обработки, включая профилирование, которая влечет за собой юридические последствия или аналогичным образом существенно влияет на них. Если такая обработка будет реализована, Компания заранее предоставит необходимую по закону информацию, включая логику и возможные последствия, а также предоставит необходимые гарантии.

18. Права субъектов данных

В зависимости от применимого законодательства и обстоятельств субъект данных имеет право:

• получать информацию об обработке и доступе к своим данным
• запросить исправление неточных данных или дополнение неполных
• потребовать удаления данных, если нет правовых оснований для их хранения
• запросить ограничение обработки
• получать данные в структурированном, распознаваемом и машиночитаемом формате и запрашивать их передачу другому оператору, когда применяется право на переносимость
• возражать против обработки на основании законного интереса с учетом исключений, предусмотренных законодательством
• в любое время и без объяснения причин участвовать в конкурсе прямого маркетинга
• отозвать согласие, не затрагивая законность обработки до момента его отзыва
• не подпадать под действие решения, основанного исключительно на автоматической обработке, если такое решение влечет за собой существенные юридические или аналогичные последствия, если исключение не предусмотрено законом
• подать жалобу в компетентный надзорный орган и использовать другие средства защиты.

Права не являются абсолютными. Например, Компания может продолжать хранить данные, если это необходимо для выполнения юридического обязательства, для установления, осуществления или защиты законных прав или на ином основании, предусмотренном законом.

19. Порядок осуществления прав

Запрос можно отправить на dpo@nobil.md / dpo@luxhospitality.md или на почтовый адрес Компании. Запрос должен описывать запрос и данные, позволяющие идентифицировать соответствующую информацию. Для предотвращения несанкционированного раскрытия Компания имеет право запросить разумное подтверждение личности без сбора лишней информации.

Запрос рассматривается без неоправданной задержки и в сроки, установленные действующим законодательством. Если запрос сложный или многочисленный, срок может быть продлен в пределах, предусмотренных законодательством, с уведомлением заявителя о причинах. Осуществление прав, как правило, бесплатно; за неоднократные заведомо необоснованные или чрезмерные требования могут быть применены меры, предусмотренные законом.

20. Надзорный орган

Если вы считаете, что обработка нарушает законодательство, вы имеете право обратиться в Национальный центр защиты персональных данных Республики Молдова (CNPDCP):

• адрес: MD-2004, мун. Кишинев, ул. Серджиу Лазо, 48
• телефон: +373 22 820 801
• электронная почта: centru@datepersonale.md
• сайт: https://datepersonale.md.

21. Безопасность данных

Компания применяет технические и организационные меры, соразмерные рискам, включая управление доступом и распределение обязанностей, защиту учетных записей и систем, резервное копирование, ведение журналов, обучение персонала, договорные обязательства по конфиденциальности, проверку поставщиков и процедуры реагирования на инциденты. Для операций, которые могут быть сопряжены с повышенным риском для прав и свобод физических лиц, Компания проводит предварительную оценку риска и, если это требуется законодательством, оценку влияния на защиту персональных данных. Меры периодически пересматриваются с учетом характера данных, технологий, стоимости внедрения, вероятности и серьезности рисков. Ни один способ передачи или хранения не гарантирует абсолютную безопасность. В случае нарушения безопасности Компания документирует и оценивает инцидент и, если того требует закон, уведомляет надзорный орган и субъектов данных.

22. Изменение Политики

Компания имеет право обновлять Политику в случае изменений в законодательстве, деятельности, технологиях или процессах обработки. Действующая версия публикуется на сайте с указанием даты применения. В случае существенных изменений Компания использует дополнительные разумные способы информирования.

23. Контакты

По вопросам настоящей Политики и обработки персональных данных обращайтесь:

• dpo@nobil.md / dpo@luxhospitality.md — контакт по вопросам защиты персональных данных
• info@nobil.md — общие пожелания
• +373 68 400 400 — телефон
• LUX HOSPITALITY SRL, MD-2012, мун. Кишинэу, бул. Ștefan cel Mare și Sfânt, 132, Республика Молдова — почтовый адрес.