Політика безпеки

1. Загальні положення

Ця Політика безпеки щодо обробки персональних даних встановлює правила, принципи, а також організаційні та технічні заходи, що застосовуються ТОВ «PANDA TUR» з метою забезпечення належного рівня захисту та безпеки персональних даних, які обробляються в процесі діяльності компанії.

Політика розроблена відповідно до:

• Закону № 195/2024 про захист персональних даних;
• нормативно-правових актів, що застосовуються у сфері захисту персональних даних та інформаційної безпеки;
• принципів Регламенту (ЄС) 2016/679 (GDPR), імплементованих у національне законодавство Законом № 195/2024;
• інших нормативних актів, що застосовуються до діяльності ТОВ «PANDA TUR».

Починаючи з 23 серпня 2026 року, загальні правові рамки, що застосовуються до захисту персональних даних у Республіці Молдова, визначаються Законом № 195/2024 про захист персональних даних.

Ця Політика застосовується до всіх процесів обробки персональних даних, які здійснюються ТОВ «PANDA TUR», незалежно від того, чи виконуються вони з використанням інформаційних систем, додатків, веб-сайтів, документів на паперових носіях або інших засобів.

2. Володілець персональних даних

Володільцем персональних даних є:

ТОВ «PANDA TUR» визначає цілі та засоби обробки персональних даних і несе відповідальність за забезпечення відповідності процесів обробки чинному законодавству.

3. Мета Політики

Метою цієї Політики є:

1. захист прав і свобод фізичних осіб у процесі обробки персональних даних;
2. запобігання несанкціонованому доступу до даних;
3. запобігання втраті, знищенню, зміні або несанкціонованому розголошенню даних;
4. визначення обов'язків співробітників та партнерів, які мають доступ до даних;
5. забезпечення конфіденційності, цілісності та доступності даних;
6. зниження ризиків, пов'язаних з обробкою персональних даних;
7. забезпечення належного рівня безпеки з урахуванням характеру, обсягу та ризиків обробки.

4. Принципи обробки даних

ТОВ «PANDA TUR» здійснює обробку персональних даних відповідно до таких принципів:

1. законність, справедливість та прозорість;
2. обмеження метою;
3. мінімізація даних;
4. точність даних;
5. обмеження строку зберігання;
6. цілісність і конфіденційність;
7. звітність володільця.

Персональні дані збираються та використовуються лише в тій мірі, в якій вони необхідні для заявлених цілей та виконання застосовних законних або договірних зобов'язань.

5. Категорії осіб, чиї дані можуть оброблятися

Залежно від здійснюваної діяльності, ТОВ «PANDA TUR» може обробляти дані таких категорій осіб:

• клієнти;
• потенційні клієнти;
• особи, які запитують інформацію або комерційні пропозиції;
• особи, які здійснюють бронювання;
• користувачі веб-сайту pandatur.md;
• представники партнерів та постачальників;
• особи, включені до проїзних/туристичних документів;
• співробітники та позаштатні фахівці;
• інші особи, чиї дані необхідні для надання туристичних послуг або виконання встановлених законом обов'язків.

6. Категорії персональних даних

Залежно від мети обробки можуть оброблятися такі категорії даних:

6.1. Ідентифікаційні дані

• прізвище;
• ім'я;
• дата народження;
• громадянство;
• дані проїзних документів/посвідчень особи, коли вони необхідні для оформлення бронювання або надання послуги.

6.2. Контактні дані

• номер телефону;
• адреса електронної пошти;
• адреса проживання або перебування, коли це необхідно.

6.3. Дані про туристичні послуги

• напрямок (місце призначення);
• період поїздки;
• уподобання щодо туристичних послуг;
• інформація про бронювання;
• інформація, необхідна для виписки проїзних документів;
• інформація про запити та комунікацію з клієнтом.

6.4. Технічні дані

При використанні веб-сайту та онлайн-сервісів, залежно від налаштувань користувача та застосовної правової підстави, можуть оброблятися:

• IP-адреса;
• тип і версія браузера;
• операційна система;
• технічні ідентифікатори;
• дані про пристрій;
• дані про відвідування веб-сайту;
• дані з файлів cookie та аналогічних технологій.

6.5. Дані про комунікацію

Може зберігатися інформація щодо запитів, направлених до компанії, включаючи:

• зміст запиту;
• дату й час звернення;
• контактні дані;
• історію листування/комунікації з клієнтом.

7. Цілі обробки

Персональні дані можуть оброблятися для:

1. надання туристичних послуг;
2. запиту та підготовки комерційних пропозицій;
3. оформлення та адміністрування бронювань;
4. виписки документів, необхідних для поїздки;
5. взаємодії та зв'язку з клієнтами;
6. виконання договорів;
7. виконання встановлених законом обов'язків;
8. управління відносинами з партнерами та постачальниками;
9. обробки рекламацій та звернень;
10. забезпечення безпеки інформаційних систем;
11. запобігання шахрайству та неправомірному використанню послуг;
12. поліпшення якості послуг та функціоналу веб-сайту;
13. проведення статистичного аналізу на умовах, передбачених законом;
14. надсилання комерційних повідомлень за наявності відповідної правової підстави;
15. захисту законних прав та інтересів компанії в межах, встановлених законом.

Дані не будуть надалі використовуватися способом, несумісним із цілями, для яких вони були зібрані.

8. Правові підстави обробки

Обробка персональних даних здійснюється виключно на підставі законних підстав, передбачених чинним законодавством.

Залежно від ситуації правовою підставою може бути:

• згода суб'єкта персональних даних;
• необхідність виконання договору або виконання дій за запитом суб'єкта даних до укладення договору;
• виконання юридичного (передбаченого законом) обов'язку;
• захист життєво важливих інтересів;
• виконання завдання, що становить суспільний інтерес, у застосовних випадках;
• законний інтерес ТОВ «PANDA TUR» або третьої сторони при дотриманні прав і свобод суб'єкта даних.

Згода не використовується як правова підстава у випадках, коли обробка може і повинна здійснюватися на іншій застосовній законній підставі.

Відкликання згоди не впливає на законність обробки, здійсненої до її відкликання.

9. Обробка даних через веб-сайт pandatur.md

Веб-сайт pandatur.md може використовувати технології збереження та доступу до інформації, включаючи файли cookie та аналогічні технології.

Файли cookie, суворо необхідні для функціонування веб-сайту, можуть використовуватися в межах, дозволених чинним законодавством.

Файли cookie або технології, що використовуються для аналітики, реклами, маркетингу або інших цілей, що вимагають згоди, будуть активовані лише за умови, що суб'єкт даних висловив свою дійсну згоду.

Користувачеві повинна бути надана можливість:

• приймати категорії файлів cookie, на використання яких він бажає надати згоду;
• відмовлятися від файлів cookie, які потребують згоди;
• згодом змінювати зроблений вибір;
• відкликати згоду.

Управління файлами cookie детально описано в Політиці використання файлів cookie ТОВ «PANDA TUR».

10. Передача даних третім особам

З метою надання туристичних послуг персональні дані можуть передаватися в необхідному обсязі:

• туроператорам та постачальникам туристичних послуг;
• готелям та засобам розміщення;
• авіакомпаніям;
• транспортним операторам;
• компаніям, що надають трансфер;
• страховим компаніям;
• системам бронювання;
• постачальникам IT-послуг;
• постачальникам послуг зв'язку;
• провайдерам платіжних послуг;
• державним органам та іншим організаціям, коли розкриття інформації передбачено або дозволено законом.

Дані передаються виключно в обсязі, необхідному для досягнення відповідної мети, та за наявності належної правової підстави.

11. Уповноважені особи та постачальники послуг

Коли треті особи обробляють дані від імені ТОВ «PANDA TUR», компанія вживає заходів для того, щоб обробка здійснювалася на підставі договірних умов та за наявності належних гарантій безпеки та конфіденційності.

Уповноважені особи (розпорядники) обробляють дані виключно відповідно до вказівок володільця та у встановлених цілях.

12. Міжнародна передача даних

У разі передачи персональних даних одержувачам, які перебувають за межами Республіки Молдова або в інших юрисдикціях, ТОВ «PANDA TUR» застосовуватиме вимоги чинного законодавства, що регулює міжнародну передачу даних.

Передача здійснюється тільки за наявності правової підстави та належних гарантій, передбачених чинним законодавством.

13. Доступ співробітників до даних

Доступ співробітників до персональних даних надається за принципом «службової необхідності» (need-to-know). Кожен співробітник отримує доступ лише до тих даних, які необхідні для виконання його службових обов'язків.

Співробітники та позаштатні фахівці, які мають доступ до даних, зобов'язані:

• дотримуватися конфіденційності даних;
• використовувати дані виключно в професійних цілях;
• не розголошувати дані неуповноваженим особам;
• не копіювати та не передавати дані без відповідного дозволу;
• дотримуватися внутрішніх процедур безпеки.

Зобов'язання щодо збереження конфіденційності зберігається і після припинення трудових або партнерських відносин у межах, передбачених законом і договором.

14. Технічні заходи безпеки

ТОВ «PANDA TUR» застосовує адекватні технічні заходи, співрозмірні з виявленими ризиками, включаючи за потреби:

• використання захищених з'єднань;
• контроль доступу до систем;
• аутентифікацію користувачів;
• індивідуальні паролі та заходи щодо їх захисту;
• обмеження прав доступу;
• оновлення програмного забезпечення та систем;
• захист від шкідливих програм;
• створення резервних копій;
• моніторинг доступу до систем;
• логіювання (журналювання) значущих подій;
• захист баз даних;
• сегментацію доступу до ресурсів;
• заходи щодо захисту пристроїв, які використовуються для обробки даних;
• інші технічні заходи, визначені за результатами оцінки ризиків.

15. Організаційні заходи

Компанія застосовує організаційні заходи щодо захисту даних, включаючи:

• розподіл обов'язків та відповідальності персоналу;
• періодичний інструктаж та навчання співробітників;
• правила доступу до даних;
• процедури реагування на інциденти;
• процедури забезпечення реалізації прав суб'єктів даних;
• оцінку ризиків;
• періодичну перевірку ефективності заходів безпеки;
• контроль за постачальниками та уповноваженими особами;
• актуалізацію внутрішньої документації щодо захисту даних.

16. Управління інцидентами безпеки

Будь-який співробітник або партнер, який виявив або запідозрив:

• несанкціонований доступ;
• втрату даних;
• випадкове розголошення;
• знищення даних;
• несанкціоновану зміну;
• компрометацію облікового запису;
• кібератаку;
• втрату пристрою, що містить дані;

зобов'язаний негайно проінформувати відповідальну особу, призначену компанією.

ТОВ «PANDA TUR» проведе оцінку інциденту та вживе необхідних заходів для мінімізації наслідків, документування випадку та, за наявності підстав, повідомлення компетентного органу та/або інформування суб'єктів даних відповідно до чинного законодавства.

17. Оцінка ризиків

ТОВ «PANDA TUR» оцінює ризики, пов'язані з обробкою персональних даних, і застосовує заходи, співрозмірні з рівнем ризику.

При оцінці враховуються, залежно від обставин:

• характер даних;
• обсяг даних;
• кількість суб'єктів даних;
• цілі обробки;
• використовувані технології;
• одержувачі даних;
• міжнародні передачі;
• ймовірність виникнення інциденту;
• потенційний вплив на суб'єктів даних.

Для процесів обробки, здатних спричинити високий ризик для прав і свобод фізичних осіб, компанія оцінює необхідність проведення оцінки впливу на захист даних (DPIA).

18. Строк зберігання даних

Персональні дані зберігаються лише протягом періоду, необхідного для досягнення цілей, заради яких вони були зібрані, або протягом строку, встановленого чинним законодавством.

Після закінчення відповідного строку дані:

• видаляються;
• знищуються;
• знеособлюються; або
• архівуються, якщо таке зберігання передбачено законом.

Строки зберігання визначаються залежно від категорії даних та мети їх обробки.

19. Права суб'єктів даних

Суб'єкти даних наділяються відповідно до закону застосовними правами, включаючи:

• право на отримання інформації;
• право на доступ до даних;
• право на виправлення (уточнення) даних;
• право на видалення даних («право бути забутим»);
• право на обмеження обробки;
• право на мобільність даних у застосовних випадках;
• право на заперечення проти обробки;
• право відкликати згоду;
• права щодо автоматизованої обробки та профільування у застосовних випадках.

Запити суб'єктів даних розглядаються у строки та в порядку, передбачені чинним законодавством.

20. Здійснення прав

Для здійснення прав, пов'язаних з персональними даними, суб'єкт даних може зв'язатися з ТОВ «PANDA TUR», використовуючи контактні дані, опубліковані на веб-сайті компанії, або через інші офіційні канали зв'язку.

Компанія має право затребувати додаткову інформацію, необхідну для підтвердження особи заявника, якщо це потрібно для захисту даних та запобігання несанкціонованому доступу.

21. Дані неповнолітніх

У випадках, коли надання туристичних послуг передбачає обробку даних неповнолітніх, ТОВ «PANDA TUR» обробляє такі дані виключно в обсязі, необхідному для досягнення законної мети, та відповідно до застосовних вимог законодавства.

Дані неповнолітніх не використовуються в цілях, несумісних із тими, для яких вони були зібрані.

22. Персональні дані, що містяться в проїзних документах

Коли для бронювання або надання туристичних послуг потрібні дані з документів, що посвідчують особу, або проїзних документів, вони запитуються лише в тій мірі, в якій це необхідно для виконання послуги або виконання вимоги закону.

Доступ до цих даних обмежується колом осіб, яким вони необхідні для виконання службових обов'язків.

23. Використання електронної пошти та систем зв'язку

ТОВ «PANDA TUR» може використовувати електронну пошту, телефон та інші засоби зв'язку для:

• обробки звернень;
• взаємодії з питань бронювання;
• надання послуг;
• надсилання документів;
• повідомлення про зміни в послугах;
• надсилання комерційних повідомлень за наявності відповідної правової підстави.

Комерційні повідомлення надсилаються з дотриманням вимог законодавства про прямий маркетинг та права особи на заперечення або відписку.

24. Обов'язки та відповідальність

Керівництво ТОВ «PANDA TUR» несе відповідальність за виділення ресурсів, необхідних для впровадження заходів із захисту даних.

Уповноважені особи всередині компанії відповідають у межах своїх повноважень за:

• впровадження заходів безпеки;
• управління доступом;
• моніторинг інцидентів;
• навчання персоналу;
• обробку запитів суб'єктів даних;
• взаємодію з постачальниками;
• періодичний перегляд заходів безпеки.

У разі призначення відповідального за захист даних (DPO) його контактні дані доводяться до відома суб'єктів даних та публікуються у відповідних документах компанії.

25. Перегляд Політики

Ця Політика переглядається регулярно, а також кожного разу, коли:

• змінюється законодавство;
• впроваджуються нові інформаційні системи;
• вводяться нові процеси обробки;
• з'являються нові категорії даних;
• виявляються нові ризики;
• відбуваються інциденти безпеки;
• змінюється організаційна структура або сфери відповідальності в компанії.

Оновлена версія Політики затверджується керівництвом компанії.

26. Прикінцеві положення

Ця Політика є обов'язковою для співробітників, партнерів та осіб, які мають доступ до персональних даних у межах своєї діяльності для ТОВ «PANDA TUR».

Ніхто не має права обробляти персональні дані поза цілями та повноваженнями, встановленими компанією та чинним законодавством.

Ця Політика набирає чинності з дати затвердження.