Политика обработки персональных данных Mesto.travel

Редакция от 07.08.2026

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и меры по обеспечению безопасности персональных данных Индивидуальным предпринимателем Мартюхиным Павлом Александровичем, ИНН 504418260189, ОГРНИП 320508100405123, адрес: 141551, Россия, Московская область, Солнечногорский район, рп. Андреевка, д. 26, кв. 191, далее - «Оператор».

1.2. Политика разработана с учетом Конституции Российской Федерации, Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных», Закона РФ от 07.02.1992 N 2300-1 «О защите прав потребителей» и иных применимых нормативных правовых актов.

1.3. Политика распространяется на персональные данные, обрабатываемые при использовании сайта https://mesto.travel, личных кабинетов, бронирований, платежей за собственные услуги Mesto, обращений в поддержку и взаимодействия с Владельцами объектов.

1.4. Политика является общедоступным документом. Она не подменяет отдельное согласие субъекта персональных данных в тех случаях, когда законодательство требует именно согласие.

2. Основные понятия

В настоящей Политике используются понятия в значениях, установленных Федеральным законом N 152-ФЗ, в том числе:

• персональные данные;
• оператор персональных данных;
• обработка персональных данных;
• автоматизированная обработка;
• предоставление и распространение персональных данных;
• блокирование;
• уничтожение;
• обезличивание;
• информационная система персональных данных;
• трансграничная передача персональных данных.

Термины «Пользователь», «Гость», «Владелец», «Объект», «Бронирование» используются в значениях Пользовательского соглашения Mesto.travel.

3. Принципы обработки

Оператор обеспечивает обработку на основе следующих принципов:

3.1. Законность и справедливая основа обработки.

3.2. Ограничение обработки заранее определенными и законными целями.

3.3. Недопустимость обработки, несовместимой с целями первоначального сбора.

3.4. Соответствие состава и объема данных заявленным целям.

3.5. Недопустимость избыточности данных.

3.6. Обеспечение точности и актуальности в необходимых случаях.

3.7. Хранение в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели или закон.

3.8. Уничтожение либо обезличивание после достижения цели при отсутствии другого законного основания для хранения.

3.9. Раздельное определение правового основания для каждой существенной цели обработки.

4. Категории субъектов

Оператор может обрабатывать данные следующих категорий субъектов:

1. посетители Сайта;

2. зарегистрированные Пользователи;

3. лица, оформляющие и оплачивающие Бронирование;

4. Гости, указанные в Бронировании;

5. Владельцы объектов - физические лица, ИП, самозанятые и представители организаций;

6. представители контрагентов;

7. лица, обращающиеся в поддержку;

8. лица, давшие отдельное согласие на рекламные коммуникации;

9. иные лица, данные которых законно поступили Оператору в связи с использованием Сервиса.

5. Цели, данные и основания обработки

5.1. Предоставление доступа к Сайту и обеспечение безопасности

Данные: IP-адрес, дата и время, сведения о браузере и устройстве, идентификаторы сессии, технические журналы, необходимые cookies, сведения о событиях безопасности.

Цель: работа интерфейса, защита учетных записей и инфраструктуры, предотвращение злоупотреблений, расследование инцидентов.

Основания: исполнение договора/преддоговорные действия в применимых случаях; выполнение обязанностей по обеспечению безопасности; осуществление прав и законных интересов Оператора при соблюдении прав субъекта; согласие - для необязательных технологий, когда оно требуется.

5.2. Регистрация и личный кабинет Пользователя

Данные: имя, фамилия при необходимости, телефон, e-mail, идентификатор учетной записи, сведения об авторизации, история значимых действий.

Цель: создание аккаунта, идентификация, авторизация, управление Бронированиями, связь по вопросам исполнения договора.

Основание: заключение и исполнение договора по инициативе Пользователя.

5.3. Оформление Заявки и Бронирования

Данные: имя Пользователя, телефон, e-mail, выбранный Объект, даты, количество и состав Гостей, имена иных Гостей только при необходимости, комментарии и специальные запросы, параметры тарифа, цены, история статусов.

Цель: обработка Заявки, передача Владельцу, получение подтверждения, фиксация условий, формирование Подтверждения бронирования и содействие исполнению Прямого договора.

Основание: действия для заключения и исполнения договора по инициативе субъекта; выполнение обязанностей Оператора по закону. Для данных третьего лица - применимое законное основание с учетом обстоятельств передачи.

5.4. Оказание Платформенной услуги Mesto и расчеты

Данные: идентификатор Бронирования, сумма Сервисного сбора, сумма Владельцу, платежный идентификатор, статус операции, маскированные платежные сведения при их передаче провайдером, e-mail/телефон для направления электронного кассового чека, сведения о возврате.

Цель: прием оплаты собственной услуги Mesto, подтверждение расчета, возврат, кассовый чек, бухгалтерский и налоговый учет, защита от двойного списания и мошенничества.

Основание: исполнение договора; исполнение обязанностей, возложенных законом.

Оператор не планирует получать CVC/CVV и полный номер банковской карты, если расчет проводится на стороне платежного провайдера.

5.5. Передача данных выбранному Владельцу

Данные: минимально необходимые данные конкретного Бронирования, в том числе имя, контакты, даты, количество Гостей, сведения о специальных запросах, если Пользователь их указал.

Цель: подтверждение Бронирования и исполнение Прямого договора с выбранным Владельцем.

Основание: заключение и исполнение договора по инициативе Пользователя и иные предусмотренные законом основания.

5.6. Поддержка и претензии

Данные: контактные сведения, номер Бронирования, текст обращений, вложения, история переписки, сведения о решении вопроса; записи звонков - только если фактически применяются и для них имеется законное основание.

Цель: поддержка, рассмотрение претензий, защита прав сторон, исполнение обязательных обязанностей агрегатора/платформы.

Основание: исполнение договора; исполнение закона; защита прав и законных интересов.

5.7. Проверка Владельцев и Объектов

Данные: ФИО, контакты, ИНН, ОГРН/ОГРНИП, сведения о статусе самозанятого при применимости, данные о полномочиях представителя, сведения о праве на Объект, классификации, идентификаторах и записях государственных реестров, история проверок и модерации.

Цель: заключение договора с Владельцем, проверка законности размещения, соблюдение требований к агрегаторам и средствам размещения, предотвращение мошенничества.

Основание: заключение и исполнение договора с Владельцем; выполнение обязанностей по закону; осуществление прав и законных интересов при соблюдении прав субъекта.

5.8. Сервисные сообщения

Данные: e-mail, телефон, идентификатор учетной записи и Бронирования.

Цель: отправка кода входа, статуса Заявки, подтверждения, чека, информации о существенном изменении, безопасности или ответа поддержки.

Основание: исполнение договора, действия по инициативе Пользователя, исполнение закона.

Сервисные сообщения не должны содержать рекламное предложение, если для рекламы отсутствует необходимое согласие.

5.9. Рекламные и информационные рассылки

Данные: имя при наличии, e-mail, телефон/идентификатор канала, сведения о факте и версии согласия, предпочтения по рассылке.

Цель: рекламные предложения, подборки, акции, новости продукта.

Основание: предварительное отдельное согласие в случаях, когда оно требуется законодательством о рекламе и персональных данных.

Отказ от маркетинга не влияет на возможность пользоваться основным Сервисом и получать необходимые сервисные сообщения.

5.10. Аналитика и улучшение продукта

Данные: обезличенные или псевдонимизированные технические события, путь по интерфейсу, сведения об устройстве, cookies/идентификаторы аналитики.

Цель: измерение работы интерфейса, поиск ошибок, улучшение продукта.

Основание: согласие для необязательной аналитики, если оно требуется; законный интерес - только в случаях, прямо допустимых законом и не нарушающих права субъекта; обезличенная аналитика - в пределах применимого регулирования.

6. Специальные и биометрические данные

6.1. Оператор не ставит целью обработку сведений о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни и иных специальных категориях персональных данных.

6.2. Пользователь не должен включать такие сведения в свободные комментарии без объективной необходимости.

6.3. Оператор не осуществляет биометрическую идентификацию Пользователей в рамках стандартной работы Mesto.travel.

6.4. Если в будущем появится функция, требующая специальных или биометрических данных, до ее запуска должны быть определены отдельное правовое основание, техническая модель, уведомления и необходимые согласия.

7. Источники получения данных

Оператор получает персональные данные:

• непосредственно от субъекта через Сайт и каналы поддержки;
• от Пользователя, оформляющего Бронирование для иных Гостей, в минимально необходимом объеме;
• от Владельца при регистрации и подтверждении Бронирования;
• от платежных и банковских сервисов в части статуса расчета;
• из государственных и иных законно доступных реестров при проверке Владельца/Объекта;
• автоматически от устройства и браузера в объеме технических данных;
• от подрядчиков, действующих по поручению или на ином законном основании.

8. Перечень основных операций

Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу/предоставление, доступ, обезличивание, блокирование, удаление и уничтожение персональных данных.

Распространение персональных данных неопределенному кругу лиц осуществляется только при наличии отдельного правового основания и, когда требуется, отдельного согласия на распространение.

9. Автоматизированная и неавтоматизированная обработка

9.1. Основная обработка в Mesto.travel осуществляется с использованием средств автоматизации.

9.2. Отдельные операции поддержки, проверки документов, претензионной работы и внутреннего контроля могут выполняться сотрудниками вручную.

9.3. Mesto не принимает исключительно автоматизированные решения, порождающие юридические последствия для субъекта, если такая функция прямо не внедрена с соблюдением требований закона.

10. Передача третьим лицам

10.1. Оператор не раскрывает персональные данные произвольным третьим лицам.

10.2. Передача допускается в необходимом объеме:

1. выбранному Владельцу - для подтверждения и исполнения Бронирования;

2. банку/эквайеру/платежному сервису - для расчета Сервисного сбора;

3. оператору фискальных данных и ФНС - в предусмотренной законом части;

4. поставщикам инфраструктуры, связи, уведомлений, мониторинга и поддержки - по договору и в необходимом объеме;

5. консультантам и представителям - для защиты прав и исполнения закона;

6. государственным органам, судам и правоохранительным органам - при наличии законного требования;

7. иным лицам - при отдельном законном основании.

10.3. При поручении обработки Оператор определяет перечень данных, операции, цели, требования к конфиденциальности, безопасности и иные обязательные условия договора поручения обработки.

10.4. Если получатель самостоятельно определяет цели и средства обработки после законного получения данных, его обязанности определяются законодательством и его собственной ролью оператора.

11. Локализация персональных данных граждан РФ

11.1. При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение организуются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом исключений.

11.2. Оператор организует рабочие базы, резервные копии и подключаемые сервисы, получающие необезличенные данные, с соблюдением требований локализации персональных данных. Подключение нового сервиса, способного получать такие данные, осуществляется после проверки законности соответствующего потока данных и места их обработки.

11.3. Подключение внешнего SaaS не допускается без анализа фактической географии хранения и передачи данных.

12. Трансграничная передача

12.1. Трансграничная передача персональных данных осуществляется только при наличии законного основания и после выполнения обязанностей, предусмотренных статьей 12 Федерального закона N 152-ФЗ и иными применимыми нормами.

12.2. До начала такой передачи Оператор проводит оценку получателя и государства, определяет объем и цель, выполняет требуемое уведомление Роскомнадзора и иные процедуры, если они применимы.

12.3. Если трансграничная передача для функции не требуется и отсутствует самостоятельное законное основание, Оператор не передает идентифицируемые данные за пределы РФ только ради аналитики или удобства подрядчика.

13. Согласие на обработку

13.1. Там, где основанием является согласие субъекта, оно должно быть конкретным, предметным, информированным, сознательным и однозначным.

13.2. Согласие, которое требуется в соответствии со статьей 9 Федерального закона N 152-ФЗ, оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект.

13.3. Оператор сохраняет доказательства получения согласия: редакцию текста, дату и время, идентификатор субъекта/сессии и техническое событие согласия в допустимом объеме.

13.4. Молчание, заранее установленная галочка либо одно лишь продолжение использования Сайта не используются как отдельное согласие там, где закон требует активного волеизъявления.

13.5. Если обработка объективно необходима для заключения или исполнения договора и может осуществляться на соответствующем самостоятельном основании закона, Оператор не использует согласие как основание для сбора избыточных персональных данных, не необходимых для заявленной цели.

14. Отзыв согласия

14.1. Субъект вправе отозвать согласие способом, позволяющим идентифицировать соответствующее согласие, в том числе через предусмотренный интерфейс либо обращением на support@mesto.travel.

14.2. После отзыва Оператор прекращает обработку, основанную только на согласии, и уничтожает данные в сроки и порядке, предусмотренные законом, если отсутствует иное законное основание для продолжения обработки.

14.3. Отзыв маркетингового согласия не прекращает необходимые сервисные сообщения по действующему Бронированию.

15. Сроки обработки и уничтожение

15.1. Срок обработки определяется целью, договором и обязательными сроками законодательства.

15.2. После достижения цели и при отсутствии иных законных оснований данные подлежат уничтожению либо обезличиванию.

15.3. При необходимости сохранения для бухгалтерского, налогового, кассового учета, рассмотрения претензии, судебного спора, расследования мошенничества или выполнения предписания данные могут храниться в пределах соответствующего срока.

15.4. Уничтожение электронных данных осуществляется способами, исключающими восстановление в рабочей системе с учетом жизненного цикла резервных копий. Бумажные носители уничтожаются способом, исключающим восстановление содержания.

15.5. Оператор оформляет подтверждение уничтожения в случаях и форме, требуемых законодательством и внутренними регламентами.

16. Права субъекта

Субъект вправе:

• получить подтверждение факта обработки;
• узнать правовые основания и цели;
• узнать способы обработки;
• получить сведения об Операторе и лицах, имеющих доступ в предусмотренных законом случаях;
• получить перечень обрабатываемых данных и источник их получения;
• узнать сроки обработки и хранения;
• потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных либо ненужных данных;
• отозвать согласие;
• потребовать прекращения обработки в предусмотренных законом случаях;
• обжаловать действия Оператора в Роскомнадзор или суд;
• реализовать иные права, предусмотренные законом.

17. Обращения субъектов

17.1. Обращение направляется на support@mesto.travel или по адресу Оператора.

17.2. Для защиты от раскрытия данных постороннему лицу Оператор вправе запросить сведения, позволяющие идентифицировать заявителя и подтвердить его связь с обрабатываемыми данными.

17.3. Оператор рассматривает обращения и отвечает в сроки, установленные законодательством. Внутренние правила не могут увеличивать обязательный срок.

18. Обязанности Оператора

Оператор, в частности:

• назначает лицо, ответственное за организацию обработки персональных данных, когда это необходимо;
• принимает локальные акты и процедуры;
• определяет цели, категории и сроки обработки;
• выполняет уведомительные обязанности перед Роскомнадзором;
• публикует настоящую Политику и обеспечивает доступ к ней;
• принимает меры по безопасности;
• организует учет обращений субъектов;
• проводит внутренний контроль;
• обеспечивает законность передачи подрядчикам;
• актуализирует сведения в уведомлении Роскомнадзора при изменениях, когда это требуется;
• выполняет обязанности по реагированию на инциденты и взаимодействию с уполномоченным органом.

19. Безопасность

19.1. Оператор определяет актуальные угрозы и применяет необходимые организационные и технические меры в соответствии с применимыми требованиями.

19.2. В числе мер, в зависимости от информационной системы:

• идентификация и аутентификация пользователей и администраторов;
• принцип минимальных привилегий;
• MFA для административного доступа;
• защищенная передача данных;
• контроль доступа к БД;
• сетевое сегментирование;
• резервное копирование и тестирование восстановления;
• журналирование;
• антивирусная/endpoint-защита, где применимо;
• управление обновлениями и уязвимостями;
• контроль секретов;
• защита административных интерфейсов;
• обучение и обязательства сотрудников;
• проверка подрядчиков;
• план реагирования на инциденты.

20. Cookies

20.1. Cookies и аналогичные идентификаторы обрабатываются в соответствии с Политикой использования cookie.

20.2. Технически необходимые cookies используются для функций, без которых Сервис не может корректно и безопасно работать.

20.3. Необязательная аналитика и маркетинг запускаются только при наличии законного основания и, когда требуется, после отдельного выбора Пользователя.

21. Актуализация Политики

21.1. Политика пересматривается при существенном изменении законодательства, целей, архитектуры, состава подрядчиков или функций Сервиса.

21.2. Актуальная редакция публикуется по адресу https://mesto.travel/legal/personal-data.

21.3. Изменение Политики само по себе не заменяет получение нового согласия, если новое согласие требуется законом.

22. Реквизиты

Индивидуальный предприниматель Мартюхин Павел Александрович

ИНН: 504418260189

ОГРНИП: 320508100405123

Адрес: 141551, Россия, Московская область, Солнечногорский район, рп. Андреевка, д. 26, кв. 191

Телефон: +7 (499) 647-45-47

E-mail: support@mesto.travel

Сайт: https://mesto.travel