Политика в отношении обработки персональных данных

п. 1Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, принимаемые ООО «КОЛЛЕГИ» (далее — «Оператор»), с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика разработана в соответствии с действующим законодательством Российской Федерации, в том числе с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») в редакции, действующей на дату утверждения Политики, а также с Гражданским, Трудовым и Налоговым кодексами РФ, Федеральными законами № 149-ФЗ «Об информации, информационных технологиях и о защите информации», № 38-ФЗ «О рекламе», № 54-ФЗ «О применении контрольно-кассовой техники», Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21 и иными нормативными правовыми актами РФ в области персональных данных.

1.3. Оператор внесён в Реестр операторов, осуществляющих обработку персональных данных (ведёт Роскомнадзор), под регистрационным номером 77-25-479055 (уведомление зарегистрировано 29.08.2025, сведения внесены в реестр приказом Роскомнадзора № 601 от 01.09.2025). Запись доступна в открытом реестре по адресу https://pd.rkn.gov.ru/operators-registry/operators-list/. Сведения об обработке персональных данных гостей посредством Сайта и Приложения включаются в реестр уведомлением об изменении сведений в порядке ч. 7 ст. 22 152-ФЗ.

1.4. Оператор осуществляет деятельность в сфере общественного питания. Настоящая Политика действует в отношении обработки персональных данных гостей во всех заведениях Оператора и распространяется на все его информационные ресурсы независимо от конкретного бренда или заведения. Обработка ведётся посредством:

• сайта Оператора https://taganka.kollegi.bar (далее — «Сайт»);
• приложения программы лояльности Оператора, реализованного как мини-приложение в мессенджере (https://app-taganka.kollegi.bar), и сервисного бота Оператора в мессенджере (далее совместно — «Приложение»);
• POS-системы Saby Presto, используемой в заведении Оператора;
• иных каналов взаимодействия с гостями (телефон, электронная почта, посещение заведения).

1.5. Политика подлежит обязательному опубликованию на Сайте в порядке ч. 2 ст. 18.1 152-ФЗ и доступна неограниченному кругу лиц по постоянному URL https://taganka.kollegi.bar/privacy.

п. 2Сведения об Операторе

п. 3Используемые термины

Термины применяются в значении, установленном ст. 3 152-ФЗ: персональные данные (ПДн), оператор, обработка ПДн, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание, информационная система персональных данных (ИСПДн), субъект персональных данных, согласие, трансграничная передача, поручение на обработку. Дополнительно:

• Cookies — небольшие текстовые файлы, сохраняемые в браузере пользователя при посещении Сайта.
• ClientID Яндекс.Метрики — идентификатор браузера, присваиваемый счётчиком Яндекс.Метрики.
• yclid (Yandex Click ID) — идентификатор клика по рекламному объявлению в системе Яндекс.Директ.
• UTM-метка — параметр в URL для отслеживания рекламных кампаний.
• Мессенджер — используемое Оператором стороннее приложение мгновенного обмена сообщениями, в среде которого работают Приложение и сервисный бот программы лояльности.

Трансграничную передачу персональных данных Оператор не осуществляет.

п. 4Категории субъектов и категории обрабатываемых персональных данных

п. 5Цели обработки персональных данных

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, на основании исключительно автоматизированной обработки (ч. 1 ст. 16 152-ФЗ).

п. 6Правовые основания обработки (по целям)

• Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ): цели 5.1, 5.2 (в необходимой части), 5.4 (идентификация гостя и учёт бонусов в рамках Правил программы лояльности — договор присоединения), 5.9.
• Согласие субъекта (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ): цель 5.3 (маркетинговая веб-аналитика) — отдельным неотмеченным по умолчанию чек-боксом в форме брони; цель 5.5 (рассылки, поздравления) — отдельным согласием при регистрации в Приложении или подписке. Обработка в целях продвижения товаров, работ, услуг допускается только при предварительном согласии субъекта (ч. 1 ст. 15 152-ФЗ); для рекламных сообщений по сетям электросвязи также применяется ч. 1 ст. 18 ФЗ № 38-ФЗ «О рекламе».
• Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ): цели 5.7 (в части обращений), 5.8 (налоговый и кассовый учёт по ФЗ № 54-ФЗ).
• Законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ): цель 5.6 (безопасность Сайта и Приложения), 5.7 (защита прав в суде), обработка технической метаинформации при оформлении брони — в минимально необходимом объёме.
• Обязанности работодателя и налогового агента (глава 14 ТК РФ, НК РФ): цель 5.10.

Субъект вправе в любой момент отозвать согласие в порядке раздела 10. Отзыв согласия не затрагивает обработку, осуществляемую без согласия (исполнение договора, налоговый учёт).

п. 7Способы и порядок обработки

7.1. Обработка осуществляется как с использованием средств автоматизации, так и без них (бумажные носители — журналы брони, кадровые документы, договоры), с соблюдением ст. 19 152-ФЗ.

7.2. Действия с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) уполномоченным лицам, обезличивание, блокирование, удаление, уничтожение.

7.3. Способы сбора: через форму на Сайте (по защищённому каналу HTTPS/TLS); через Приложение и сервисного бота в мессенджере; через POS-систему Saby Presto на кассе; по телефону; от работника лично при трудоустройстве.

7.4. Запись и хранение: в базе данных PostgreSQL на выделенном виртуальном сервере в центре обработки данных на территории Российской Федерации (см. п. 8.3); в кэш-системе Redis (временные данные сессий); в POS-системе Saby Presto (п. 8.2); в Яндекс.Метрике — только обезличенные данные веб-аналитики и рекламные идентификаторы без имени и телефона (п. 8.1); на бумажных носителях — в запираемых шкафах помещения Оператора.

7.5. Локализация (ч. 5 ст. 18 152-ФЗ): запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в г. Москве.

7.6. Трансграничная передача персональных данных Оператором не осуществляется; уведомление по ст. 12 152-ФЗ не направляется ввиду отсутствия такой передачи. Данные профиля в мессенджере субъект сообщает мессенджеру самостоятельно (см. п. 8.4), Оператор дополнительных персональных данных в мессенджер не передаёт, база данных Оператора находится в Российской Федерации.

7.6.1. Транзит трафика через технический узел за пределами Российской Федерации. Обмен сообщениями между информационными системами Оператора и мессенджером осуществляется через технический узел-ретранслятор (обратный прокси-сервер), расположенный за пределами Российской Федерации. Указанный узел выполняет исключительно функцию маршрутизации (транзита) трафика к серверам мессенджера: он не хранит персональные данные и не обрабатывает их иначе как в процессе их передачи (содержимое запросов не журналируется, база данных на узле отсутствует), действий с персональными данными по поручению Оператора не совершает. Такой транзит не образует трансграничной передачи персональных данных; база данных, содержащая персональные данные граждан Российской Федерации, размещена исключительно на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ, п. 7.5 Политики).

п. 8Передача персональных данных третьим лицам

Оператор передаёт ПДн третьим лицам исключительно на основании поручения на обработку (ч. 3 ст. 6 152-ФЗ) либо на основании федерального закона. Распространение (раскрытие неопределённому кругу лиц) не осуществляется.

п. 9Сроки хранения

По истечении срока хранения ПДн уничтожаются в порядке, определённом локальным актом Оператора, с составлением акта об уничтожении, содержащего сведения, предусмотренные Требованиями к подтверждению уничтожения персональных данных, утв. приказом Роскомнадзора от 28.10.2022 № 179; допускается обезличивание вместо уничтожения. Субъект вправе требовать досрочного уничтожения, за исключением случаев, когда обработка необходима для исполнения договора, обязанностей по закону либо защиты прав Оператора в суде.

п. 10Права субъекта и порядок их реализации

10.1. Субъект имеет право на: получение информации об обработке его ПДн; уточнение, блокирование или уничтожение ПДн, если они неполны, устаревшие, неточны, незаконно получены или не являются необходимыми для цели (ч. 1 ст. 14 152-ФЗ); отзыв согласия (ч. 2 ст. 9 152-ФЗ); право требовать немедленного прекращения обработки его ПДн в целях продвижения товаров, работ, услуг (маркетинг) (ст. 15 152-ФЗ); обращение в Роскомнадзор или суд (ст. 17, ст. 24 152-ФЗ).

10.2. Способы обращения: e-mail alaska_msk_buh@mail.ru; почтой на 115172, г. Москва, ул. Воронцовская, д. 6, стр. 7; по телефону +7 (977) 678-05-72 для предварительного обсуждения.

10.3. Для идентификации в обращении указываются: ФИО; номер телефона, использованный при взаимодействии; сведения, подтверждающие отношения с Оператором (дата брони, номер карты и т. п.); содержание обращения и способ ответа; подпись (для бумажных обращений).

10.4. Срок рассмотрения — 10 рабочих дней с даты получения обращения; при необходимости проверки срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ст. 20 152-ФЗ).

10.5. Отзыв согласия на рассылки возможен также: через настройки профиля в Приложении («Отписаться от рассылок»); блокировкой сервисного бота Оператора в мессенджере; сообщением по любому каналу связи из раздела 2.

10.6. Отказ от Cookies и Яндекс.Метрики — через баннер согласия на Сайте, настройки браузера либо блокировщик Яндекс.Метрики.

п. 11Меры обеспечения безопасности

11.1. Оператор определил уровень защищённости ИСПДн — УЗ-4 (ПП РФ от 01.11.2012 № 1119): иные категории ПДн (не специальные, не биометрические), число субъектов менее 100 000, актуальны угрозы 3-го типа. Оформлено приказом Генерального директора от 09 сентября 2026 г. № ПДн-05/2026.

11.2. Организационные меры (ст. 18.1, 19 152-ФЗ, ПП № 1119, Приказ ФСТЭК № 21): назначение ответственного за организацию обработки ПДн; утверждение и поддержание Политики и локальных актов; соглашения о неразглашении с работниками и подрядчиками, имеющими доступ к ПДн; учёт носителей, обращений субъектов и инцидентов; внутренний контроль не реже 1 раза в год.

11.3. Технические меры: разграничение доступа по принципу минимальных привилегий (роли в БД, индивидуальные учётные записи); парольная и ключевая аутентификация, запрет хранения паролей в открытом виде; ежедневное резервное копирование, хранение резервных копий в зашифрованном виде; журналирование событий; шифрование канала (TLS 1.2+/HTTPS) на Сайте и в API; защита от вредоносного ПО и своевременное обновление; межсетевое экранирование и защита от DDoS; маскирование телефонов в служебных журналах; обезличивание и минимизация данных, передаваемых в системы аналитики (в Яндекс.Метрику — только идентификаторы и суммы, без имени и телефона); физическая защита помещений и бумажных носителей.

11.4. Реагирование на инциденты: при установлении факта неправомерной или случайной передачи ПДн, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор о факте инцидента, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ; Приказ Роскомнадзора от 14.11.2022 № 187).

11.5. Оценка эффективности мер осуществляется в форме внутреннего контроля (п. 6 Приказа ФСТЭК № 21, ч. 4 ст. 19 152-ФЗ). Обязательная аттестация ИСПДн для Оператора не предусмотрена.

п. 12Использование Cookie и аналогичных технологий

12.1. Сайт использует cookies и аналогичные технологии для работы Сайта, сохранения настроек, измерения аудитории и эффективности рекламы.

12.2. Категории cookies:

12.3. До получения согласия пользователя на Сайте загружаются только технические (строго необходимые) cookies. Аналитические и маркетинговые cookies (в т. ч. Яндекс.Метрика, yclid, UTM) загружаются исключительно после согласия пользователя через баннер согласия. Пользователь вправе принять, отклонить или настроить отдельные категории и изменить согласие в любое время.

12.4. Способы отказа: баннер согласия на Сайте; настройки браузера; блокировщик Яндекс.Метрики; приватный режим браузера. Отключение технических cookies может нарушить работу Сайта.

п. 13Изменение Политики

13.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения на Сайте по адресу https://taganka.kol