Политика за сигурност

1. Общи разпоредби

Настоящата Политика за сигурност относно обработката на лични данни определя правилата, принципите и организационните и техническите мерки, прилагани от ООД „PANDA TUR“ с цел осигуряване на съответното ниво на защита и сигурност на личните данни, обработвани в рамките на дейността на компанията.

Политиката е разработена в съответствие с:

• Закон № 195/2024 относно защитата на личните данни;
• приложимите нормативни актове в областта на защитата на личните данни и информационната сигурност;
• принципите на Регламент (ЕС) 2016/679 (GDPR), транспонирани в националното законодателство чрез Закон № 195/2024;
• други нормативни актове, приложими към дейността на ООД „PANDA TUR“.

Считано от 23 август 2026 г., общата рамка, приложима за защитата на личните данни в Република Молдова, се определя от Закон № 195/2024 относно защитата на личните данни.

Настоящата Политика се прилага за всички процеси по обработка на лични данни, извършвани от ООД „PANDA TUR“, независимо дали те се осъществяват чрез информационни системи, приложения, уебсайтове, документи на хартиен носител или други средства.

2. Администратор на лични данни

Администраторът на лични данни е:

ООД „PANDA TUR“ определя целите и средствата за обработка на личните данни и носи отговорност за осигуряване на съответствието на обработката с приложимото законодателство.

3. Цел на Политиката

Целта на настоящата Политика е:

1. защита на правата и свободите на физическите лица в процеса на обработка на лични данни;
2. предотвратяване на неразрешен достъп до данни;
3. предотвратяване на загуба, унищожаване, промяна или неразрешено разкриване на данни;
4. определяне на отговорностите на служителите и сътрудниците, които имат достъп до данни;
5. осигуряване на поверителността, целостта и наличността на данните;
6. намаляване на рисковете, свързани с обработката на лични данни;
7. осигуряване на адекватно ниво на сигурност спрямо естеството, обема и рисковете от обработката.

4. Принципи при обработката на данни

ООД „PANDA TUR“ обработва личните данни в съответствие със следните принципи:

1. законосъобразност, добросъвестност и прозрачност;
2. ограничение на целите;
3. минимизиране на данните;
4. точност на данните;
5. ограничение на срока за съхранение;
6. цялостност и поверителност;
7. отчетност на администратора.

Личните данни се събират и използват само доколкото са необходими за заявените цели и за изпълнение на приложимите законови или договорни задължения.

5. Категории лица, чиито данни могат да бъдат обработвани

В зависимост от извършваната дейност ООД „PANDA TUR“ може да обработва данни относно:

• клиенти;
• потенциални клиенти;
• лица, които изискват информация или оферти;
• лица, извършващи резервации;
• лица, които използват уебсайта pandatur.md;
• представители на партньори и доставчици;
• лица, включени в пътната документация;
• служители и сътрудници;
• други лица, чиито данни са необходими за предоставяне на туристическите услуги или изпълнение на законови задължения.

6. Категории лични данни

В зависимост от целта на обработката могат да бъдат обработвани следните категории данни:

6.1. Данни за идентификация

• фамилия;
• име;
• дата на раждане;
• гражданство;
• данни от документите за пътуване, когато са необходими за извършване на резервацията или предоставяне на услугата.

6.2. Данни за контакт

• телефонен номер;
• имейл адрес;
• постоянен или настоящ адрес, когато е необходимо.

6.3. Данни относно туристическите услуги

• дестинация;
• период на пътуване;
• предпочитания относно туристическите услуги;
• информация относно резервациите;
• информация, необходима за издаване на документи за пътуване;
• информация относно запитванията и комуникацията с клиента.

6.4. Технически данни

При използване на уебсайта и онлайн услугите могат да бъдат обработвани, в зависимост от настройките на потребителя и приложимото правно основание:

• IP адрес;
• тип и версия на браузъра;
• операционна система;
• технически идентификатори;
• данни за устройството;
• данни за достъпа до уебсайта;
• данни от бисквитки (cookies) и подобни технологии.

6.5. Данни относно комуникацията

Може да се съхранява информация относно запитванията, изпратени до компанията, включително:

• съдържание на запитването;
• дата и час на комуникацията;
• данни за контакт;
• история на комуникацията с клиента.

7. Цели на обработката

Личните данни могат да бъдат обработвани за:

1. предоставяне на туристически услуги;
2. изискване и управление на оферти;
3. извършване и администриране на резервации;
4. издаване на документи, необходими за пътуването;
5. комуникация с клиентите;
6. изпълнение на договори;
7. изпълнение на законови задължения;
8. управление на отношенията с партньори и доставчици;
9. управление на рекламации и запитвания;
10. осигуряване на сигурността на информационните системи;
11. предотвратяване на измами и злоупотреба с услугите;
12. подобряване на услугите и функционалността на уебсайта;
13. извършване на статистически анализи при условията на закона;
14. изпращане на търговски съобщения, когато съществува съответно правно основание;
15. защита на законните права и интереси на компанията в границите на закона.

Данните няма да бъдат използвани последващо по начин, несъвместим с целите, за които са били събрани.

8. Правни основания за обработката

Обработката на лични данни се извършва само въз основа на правно основание, предвидено от приложимото законодателство.

В зависимост от ситуацията, основанието може да бъде:

• съгласието на субекта на данните;
• необходимостта от изпълнение на договор или за предприемане на стъпки по искане на лицето преди сключване на договор;
• изпълнение на законово задължение;
• защита на жизненоважни интереси;
• изпълнение на задача от обществен интерес, в приложимите случаи;
• легитимният интерес на ООД „PANDA TUR“ или на трета страна, при зачитане на правата и свободите на субекта на данните.

Съгласието няма да се използва като правно основание, когато обработката може и трябва да се извършва въз основа на друго приложимо правно основание.

Оттеглянето на съгласието не засяга законосъобразността на обработката, извършена преди неговото оттегляне.

9. Обработка на данни чрез уебсайта pandatur.md

Уебсайтът pandatur.md може да използва технологии за съхранение и достъп до информация, включително бисквитки (cookies) и подобни технологии.

Бисквитките, строго необходими за функционирането на уебсайта, могат да се използват в степента, разрешена от приложимото законодателство.

Бисквитките или технологиите, използвани за анализ, реклама, маркетинг или други цели, изискващи съгласие, ще бъдат активирани само при условие, че субектът на данните е изразил валидно съгласието си.

Потребителят трябва да има възможност да:

• приема категориите бисквитки, за които желае да изрази съгласие;
• Отказва бисквитките, изискващи съгласие;
• променя избора си впоследствие;
• оттегля съгласието си.

Управлението на бисквитките е подробно описано в Политиката относно използването на бисквитки на ООД „PANDA TUR“.

10. Предаване на данни на трети страни

С цел предоставяне на туристическите услуги, личните данни могат да бъдат предавани, в необходимата степен, на:

• туроператори и доставчици на туристически услуги;
• хотели и места за настаняване;
• авиокомпании;
• транспортни оператори;
• компании за трансфер;
• застрахователни компании;
• резервационни системи;
• доставчици на ИТ услуги;
• доставчици на комуникационни услуги;
• доставчици на платежни услуги;
• публични органи и други субекти, когато разкриването е предвидено или разрешено от закона.

Данните ще бъдат разкривани само доколкото е необходимо за постигане на съответната цел и въз основа на съответно правно основание.

11. Обработващи лични данни и доставчици на услуги

Когато трета страна обработва данни от името на ООД „PANDA TUR“, компанията ще предприеме мерки обработката да се извършва въз основа на договорни условия и съответните гаранции за сигурност и поверителност.

Обработващите данни ще ги обработват само съгласно инструкциите на администратора и за определените цели.

12. Международно предаване на данни

В случай че личните данни се предават на получатели, намиращи се извън Република Молдова или в други юрисдикции, ООД „PANDA TUR“ ще прилага изискванията на приложимото законодателство относно международното предаване на данни.

Предаването ще се извършва само когато съществува правно основание и съответните гаранции, предвидени от приложимото законодателство.

13. Достъп на служителите до данните

Достъпът на служителите до личните данни се предоставя съгласно принципа „необходимост да се знае“ (need-to-know). Всеки служител ще има достъп само до данните, необходими за изпълнение на служебните му задължения.

Служителите и сътрудниците, които имат достъп до данни, са длъжни да:

• пазят поверителността на данните;
• използват данните изключително за професионални цели;
• не разкриват данните на неоторизирани лица;
• не копират или предават данни без разрешение;
• спазват вътрешните процедури за сигурност.

Задължението за поверителност продължава и след прекратяване на трудовите или сътрудническите отношения, в степента, предвидена от закона и договора.

14. Технически мерки за сигурност

ООД „PANDA TUR“ прилага адекватни технически мерки, пропорционални на установените рискове, включително, според случая:

• използване на защитени връзки;
• контрол на достъпа до системите;
• автентикация на потребителите;
• индивидуални пароли и мерки за тяхната защита;
• ограничаване на правата за достъп;
• актуализиране на софтуера и системите;
• защита срещу зловреден софтуер;
• правене на резервни копия;
• мониторинг на достъпа до системите;
• водене на дневник (логиране) на съответните събития;
• защита на базите данни;
• сегментиране на достъпа до ресурсите;
• мерки за защита на устройствата, използвани за обработка на данни;
• други технически мерки, определени въз основа на оценката на риска.

15. Организационни мерки

Компанията прилага организационни мерки за защита на данните, включително:

• определяне отговорностите на персонала;
• периодично обучение на служителите;
• правила относно достъпа до данни;
• процедури за управление на инциденти;
• процедури относно упражняването на правата на субектите на данни;
• оценка на риска;
• периодична проверка на мерките за сигурност;
• контрол върху доставчиците и обработващите данни;
• актуализиране на вътрешната документация за защита на данните.

16. Управление на инциденти със сигурността

Всеки служител или сътрудник, който установи или се съмнява за:

• неоторизиран достъп;
• загуба на данни;
• Случайно разкриване;
• унищожаване на данни;
• неоторизирана промяна;
• компрометиране на профил;
• кибератака;
• загуба на устройство, съдържащо данни;

е длъжен незабавно да уведоми определеното от компанията отговорно лице.

ООД „PANDA TUR“ ще оцени инцидента и ще предприеме необходимите мерки за ограничаване на последиците, документиране на инцидента и, когато е приложимо, уведомяване на компетентния орган и/или информиране на засегнатите лица, съгласно приложимото законодателство.

17. Оценка на риска

ООД „PANDA TUR“ оценява рисковете, свързани с обработката на лични данни, и прилага мерки, пропорционални на нивото на риска.

При оценката ще се вземат предвид, според случая:

• естеството на данните;
• обемът на данните;
• броят на субектите на данни;
• целите на обработката;
• използваните технологии;
• получателите на данните;
• международните предавания;
• вероятността от възникване на инцидент;
• потенциалното въздействие върху субектите на данни.

За обработки, за които има вероятност да генерират висок риск за правата и свободите на физическите лица, компанията ще оцени необходимостта от извършване на оценка на въздействието върху защитата на данните (DPIA).

18. Срок за съхранение на данните

Личните данни се съхраняват само за периода, необходим за постигане на целта, за която са събрани, или за периода, изискван от приложимото законодателство.

След изтичане на съответния период данните се:

• изтриват;
• унищожават;
• анонимизират; или
• архивират, когато съхранението е предвидено от закона.

Сроковете за съхранение се определят в зависимост от категорията на данните и целта на обработката.

19. Права на субектите на данни

Субектите на данни се ползват, при условията на закона, от приложимите права, включително:

• право на информираност;
• право на достъп до данните;
• право на коригиране на данните;
• право на изтриване на данните („правото да бъдеш забравен“);
• право на ограничаване на обработката;
• право на преносимост на данните, в приложимите случаи;
• право на възражение;
• право на оттегляне на съгласието;
• права относно автоматизираната обработка и профилирането, в приложимите случаи.

Исканията на субектите на данни се разглеждат в съответствие със сроковете и процедурите, предвидени от приложимото законодателство.

20. Упражняване на правата

За упражняване на правата относно личните данни, субектът на данните може да се свърже с ООД „PANDA TUR“ чрез данните за контакт, публикувани на уебсайта на компанията, или чрез останалите официални канали за комуникация.

Компанията може да изиска допълнителна информация, необходима за потвърждаване самоличността на заявителя, когато това е необходимо за защита на данните и предотвратяване на неоторизиран достъп.

21. Данни на непълнолетни лица

В случаите, когато предоставянето на туристически услуги включва обработка на данни на непълнолетни лица, ООД „PANDA TUR“ ще обработва тези данни само доколкото е необходимо за постигане на законната цел и в съответствие с приложимите законови изисквания.

Данните на непълнолетни няма да се използват за цели, несъвместими с целта, за която са били събрани.

22. Лични данни, съдържащи се в документите за пътуване

Когато за резервацията или предоставянето на туристически услуги са необходими данни от документи за самоличност или за пътуване, те ще бъдат изисквани само доколкото са необходими за осъществяване на услугата или изпълнение на законово задължение.

Достъпът до тези данни ще бъде ограничен до лицата, които имат нужда от тях за изпълнение на служебните си задължения.

23. Използване на имейл и комуникационни системи

ООД „PANDA TUR“ може да използва имейл, телефон и други средства за комуникация за:

• управление на запитвания;
• комуникация относно резервации;
• предоставяне на услугите;
• изпращане на документи;
• информиране относно промени в услугите;
• търговски съобщения, когато съществува съответно правно основание.

Търговските съобщения ще спазват законовите изисквания относно директния маркетинг и правото на лицето да се противопостави или отпише.

24. Отговорности

Ръководството на ООД „PANDA TUR“ носи отговорност за осигуряване на ресурсите, необходими за прилагането на мерките за защита на данните.

Определените лица в рамките на компанията отговарят, в границите на своите задължения, за:

• прилагането на мерките за сигурност;
• управлението на достъпа;
• мониторинга на инциденти;
• обучението на персонала;
• обработването на исканията на субектите на данни;
• сътрудничеството с доставчиците;
• периодичния преглед на мерките за сигурност.

В случай че компанията определи длъжностно лице по защита на данните (DPO), неговите данни за контакт ще бъдат съобщени на субектите на данни и публикувани в съответните документи на компанията.

25. Преглед на Политиката

Настоящата Политика се преразглежда периодично и всеки път, когато:

• се промени законодателството;
• се внедрят нови информационни системи;
• се въведат нови процеси по обработка;
• появят се нови категории данни;
• се идентифицират нови рискове;
• настъпят инциденти със сигурността;
• се промени организационната структура или отговорностите в компанията.

Актуализираната версия на Политиката ще бъде одобрена от ръководството на компанията.

26. Заключителни разпоредби

Настоящата Политика е задължителна за служителите, сътрудниците и лицата, които в рамките на дейността си за ООД „PANDA TUR“ имат достъп до лични данни.

Никое лице не може да обработва лични данни извън целите и правомощията, определени от компанията и приложимото законодателство.

Настоящата Политика влиза в сила от датата на нейното одобряване.