Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности («Политика») определяет, как Asuu Tseg App LLC («мы») собирает, использует, хранит, передаёт и защищает персональные данные через платформу Asuu.Travel (сайт asuu.travel, аккаунты пользователей и панели поставщиков услуг — «Платформа»).

1.2. Оператором ваших персональных данных является Asuu Tseg App LLC, зарегистрированная в Монголии под регистрационным номером 4291263. Мы обрабатываем данные в соответствии с Законом Монголии о защите персональных данных и иными применимыми законами.

1.3. Политика распространяется на всех, кто посещает Платформу или регистрируется на ней, включая посетителей, путешественников, поставщиков услуг, Контрагентов и их представителей, а также на лиц, зарегистрированных на Платформе по данным, которые предоставили другие.

1.4. Термины, используемые в Политике, имеют значение, данное им в разделе 2 Условий использования («Условия»). «Персональные данные», «особо охраняемые данные» и «обработка» имеют значение, данное им в Законе о защите персональных данных.

2. Какие данные мы собираем

2.1. При посещении Платформы: IP-адрес, сведения о браузере и устройстве, выбранный язык, сеанс входа.

2.2. Аккаунт путешественника:

• имя (латинскими буквами, как в загранпаспорте), адрес электронной почты, пароль (хранится только в виде одностороннего хеша);
• язык сайта, страна проживания, номер телефона и код страны, фото профиля (если загружено);
• дата подтверждения электронной почты, дата принятия Условий и Политики и номера их версий.

2.3. Бронирования: забронированный поставщик услуг или запланированный выезд, даты, число путешественников (для запланированного выезда — по возрастным категориям), тип и количество единиц размещения, сообщение к бронированию, цена, статус, причина отмены, дата подтверждения окончания поездки, описание проблемы, если о ней сообщили, а также решение оператора и его пояснение.

2.4. Платежи и возвраты: номер платежа, сумма, способ оплаты, счёт платёжной организации и её ответ, IP-адрес при проверке платежа, а также банк, номер счёта и имя владельца счёта для получения возврата.

2.5. Отзывы: звёзды, комментарий, месяц поездки, ответ поставщика услуг.

2.6. Гиды:

• публичный профиль: имя, фото, номер гида, представление, биография, гражданство, родной аймак, опыт, языки и уровни владения, специализации, обслуживаемые регионы, цена, календарь и заметки к нему, водительское удостоверение, сведения об автомобиле, ссылки на социальные сети;
• данные для проверки: регистрационный номер, номер паспорта, пол, год рождения, телефон, адрес, копии удостоверения личности, паспорта, лицензии гида и других сертификатов;
• имя и телефон контактного лица на случай чрезвычайной ситуации.

2.7. Места размещения и туркомпании: регистрационный номер владельца или компании (для физического лица — его регистрационный номер), название, адрес, расположение на карте, телефон, электронная почта, сайт, ссылки на социальные сети, фотографии, логотип, имя директора или владельца, а также копии документов, таких как удостоверение личности, свидетельство о государственной регистрации, специальные разрешения и рекомендации. Приглашения сотрудников: приглашённый адрес электронной почты, роль (менеджер, сотрудник), статус и даты приглашения и членства; адрес без аккаунта хранится в течение срока действия приглашения. Связи гида с компанией: номера обеих сторон, статус, даты.

2.8. Контрагенты: регистрационный номер, наименование, является ли плательщиком НДС, телефон, электронная почта, адрес, имя, должность и телефон представителя, банк, номер счёта, имя владельца счёта, история изменений счёта, а также копии удостоверения личности, свидетельства и доверенности.

2.9. Мы не собираем:

• номера банковских карт, сроки их действия и коды безопасности (они вводятся только на странице банка);
• имена и паспортные данные спутников путешественника;
• биометрические данные;
• данные, отслеживающие вас в рекламных или аналитических целях.

2.10. Комментарии к новостям: текст комментария, выбрали ли вы показывать своё имя, IP-адрес, с которого он отправлен, ссылка на ваш аккаунт. IP-адрес видит только оператор, на сайте он никогда не показывается; он служит для борьбы со злоупотреблениями.

2.11. Галерея: фото, подпись, объект фото (гид, место размещения, туркомпания, тур, новость), аймак, выбрали ли вы показывать своё имя, IP-адрес, с которого оно отправлено (только для оператора). Данные камеры и местоположения (EXIF) удаляются из преобразованных изображений, показываемых на сайте; исходный файл хранится как есть, поэтому мы советуем самостоятельно удалять данные о местоположении из фото перед загрузкой.

2.12. Интерес к туру: желаемый период начала поездки, число путешественников, заметки, запланированный выезд, на котором удержаны места, и его статус.

2.13. Формы обратной связи и запроса на поездку: имя, адрес электронной почты, телефон, направление, даты, число путешественников, сообщение. Они доставляются только по электронной почте на info@asuu.travel и не сохраняются в базе данных; запись об отправке письма хранится, как указано в пункте 12.5.

3. Источники данных

3.1. Мы получаем данные из следующих источников:

• от вас: когда вы регистрируетесь, заполняете профиль, бронируете, оплачиваете, пишете отзыв или заполняете форму;
• от других пользователей: когда гид указывает контактное лицо на случай чрезвычайной ситуации, туркомпания — своего директора, а поставщик услуг — лицо, которое приглашает в качестве Контрагента;
• от платёжных организаций и банков: статус платежей и возвратов; выписки по нашим банковским счетам (8.2);
• от Платформы автоматически: IP-адрес, файлы cookie, системные журналы.

4. Цели использования

4.1. Мы используем ваши данные, чтобы:

• создавать аккаунты, выполнять вход, защищать аккаунты и подтверждать адреса электронной почты;
• принимать бронирования, передавать их поставщикам услуг и следить за их исполнением;
• принимать и подтверждать платежи и производить возвраты;
• проверять и верифицировать поставщиков услуг и предотвращать повторные и запрещённые регистрации;
• выплачивать заработок поставщиков услуг их Контрагентам;
• подтверждать окончание поездок и урегулировать заявленные проблемы;
• сверять выписки по нашим банковским счетам с платежами, возвратами и переводами;
• публиковать отзывы и отправлять уведомления о бронированиях, платежах и безопасности;
• рассматривать жалобы и споры;
• защищать Платформу от мошенничества, противоправных действий и автоматизированных программ;
• исполнять наши обязательства по бухгалтерскому учёту, налогам и иные законные обязательства;
• обеспечивать работу Платформы и устранять неполадки.

4.2. Мы используем данные только для той цели, для которой они были собраны, и только в объёме, необходимом для этой цели. Чтобы использовать их для новой цели, мы изменим настоящую Политику в порядке, предусмотренном разделом 18.

4.3. Мы не продаём ваши данные и не передаём их третьим лицам в рекламных целях. Маркетинговые сообщения мы отправляем только с вашего согласия (Условия, 19.5).

5. Правовое основание и согласие

5.1. Отмечая при регистрации поле «Я принимаю Условия использования и Политику конфиденциальности», вы даёте согласие на обработку ваших данных в целях, указанных в настоящей Политике, включая передачу за пределы Монголии в порядке, предусмотренном разделом 10. Мы сохраняем дату вашего согласия и номер версии Политики.

5.2. Данные, необходимые для исполнения договора (Условий, бронирования) или для исполнения законной обязанности (бухгалтерский учёт, налоги, законные запросы компетентных органов), обрабатываются на основаниях, предусмотренных законом.

5.3. Когда поставщик услуг или Контрагент представляет для проверки документы, регистрационный номер или банковские реквизиты, он даёт согласие на их обработку в целях, указанных в разделе 4.

5.4. Вы можете отозвать своё согласие в любое время (раздел 15). Отзыв не влияет на законность обработки, выполненной до него. Если вы отзываете согласие в отношении данных, без которых Платформа не может работать, аккаунт закрывается в порядке, предусмотренном разделом 16.

6. Особо охраняемые данные

6.1. Регистрационные номера, номера паспортов, копии удостоверений личности, паспортов, лицензий и сертификатов, а также реквизиты банковских счетов мы относим к особо охраняемым данным.

6.2. Копии документов хранятся в отдельном, непубличном хранилище. Их открывают только сотрудники, уполномоченные проводить проверку, по подписанной временной ссылке, действительной 2 минуты. Документы никогда не публикуются на Платформе (Условия, 5.7).

6.3. Регистрационные номера, номера паспортов и номера банковских счетов хранятся в базе данных с ограниченным доступом. Их видят только уполномоченные сотрудники и лицо, которому принадлежат данные; они не показываются на публичных страницах и другим пользователям (кроме маскированной формы, предусмотренной пунктом 7.4).

6.4. Фотографии на документах проверяются только визуально сотрудниками. Мы не используем биометрические методы установления личности.

6.5. Мы не собираем данные о здоровье и иные чувствительные данные. Если это важно для безопасности (аллергия, заболевание), мы советуем писать в сообщении к бронированию только необходимое или обсудить это с поставщиком услуг по телефону (Условия, 14.5).

7. Кто что видит

7.1. Все посетители: публичный профиль гида (данные публичного профиля из пункта 2.6), его календарь и заметки к нему; публичная страница места размещения или туркомпании (название, фотографии, логотип, описание, расположение, цены, контактные данные); туры и запланированные выезды; отзывы; галерея; комментарии к новостям. Заметки в календаре гиды пишут для путешественников.

7.2. В отзыве показываются полное имя вашего аккаунта, месяц поездки, звёзды и комментарий. Отзыв нельзя опубликовать анонимно. В галерее и в комментариях к новостям вы сами выбираете, показывать ли своё имя; если вы его скрываете, вместо него показывается «Путешественник».

7.3. Поставщики услуг: при отправке бронирования они видят имя путешественника, число путешественников и сообщение к бронированию. После оплаты они видят адрес электронной почты и номер телефона путешественника (если указан). После оплаты путешественник видит номер телефона поставщика услуг (Условия, 18.2). Владелец поставщика услуг и приглашённые им менеджеры и сотрудники видят эти данные одинаково.

7.4. Поставщик услуг, связанный с Контрагентом, видит наименование Контрагента, название банка и последние 4 цифры его регистрационного номера. Номер счёта он не видит. Когда поставщик услуг ищет Контрагента по регистрационному номеру, наименование и регистрационный номер найденного Контрагента показываются в маскированной форме.

7.5. Сотрудники Asuu Tseg App LLC видят данные только в той мере, в какой этого требуют их обязанности, в пределах своих полномочий.

7.6. Фото профилей, фотографии и логотипы поставщиков услуг хранятся в публичном хранилище (CDN), поэтому просмотреть их может любой, кто знает ссылку на файл.

8. Передача третьим лицам

8.1. Сервисы, обрабатывающие данные по нашему поручению:

• DigitalOcean, LLC (компания США): серверы, база данных, хранилище файлов, CDN. Данные хранятся в её дата-центре в Сингапуре;
• почтовый сервер, которым управляем мы (steppe.asuu.app): получатель, тема и содержание писем, которые отправляет Платформа.

8.2. Сервисы, получающие данные на собственных условиях:

• Google LLC (США): reCAPTCHA (на формах регистрации и обратной связи: IP-адрес, сведения о браузере, файлы cookie), Google Fonts (при каждой загрузке страницы: IP-адрес, сведения о браузере), Google Maps (когда публичная страница места размещения загружает карту из Google: IP-адрес, сведения о браузере; ссылка «Открыть в картах» ведёт в Google Maps; карта для выбора расположения в панели);
• jsDelivr: значки флагов стран (при каждой загрузке страницы: IP-адрес, сведения о браузере);
• ui-avatars.com: создание значка по имени пользователя без фото в панели (имя);
• QPay: платёжные счета (номера бронирования и платежа, сумма). Ваши имя, электронная почта и телефон не передаются;
• Банк торговли и развития Монголии: при оплате картой вы вводите данные карты непосредственно на странице банка. Кроме того, каждые 20 минут мы получаем из системы банка остатки и выписки по нашим банковским счетам, используем каждую строку выписки (дата, сумма, наименование и счёт другой стороны операции, назначение) для сверки платежей и переводов и храним её в течение срока, указанного в пункте 12.3. Поручения на перевод денег поставщикам услуг и путешественникам (имя и счёт получателя, сумма, назначение с номером бронирования) направляются в банк по этому каналу;
• банки: имя получателя, номер счёта и сумма при переводе возвратов и выплат поставщикам услуг. Поскольку номер бронирования указывается в назначении платежа, он появляется в банковской выписке получателя.

8.3. Поставщики услуг: данные из пункта 7.3, для исполнения бронирования.

8.4. Компетентные государственные органы: по запросу, направленному на основаниях и в порядке, установленных законом.

8.5. При реорганизации или правопреемстве правопреемник обрабатывает данные в рамках настоящей Политики (Условия, 26.4).

8.6. Эти сервисы обрабатывают данные в соответствии с собственными политиками конфиденциальности и условиями. Мы передаём только те данные, которые нужны сервису.

9. Платёжные данные

9.1. Данные банковской карты вводятся только на странице банка. Мы не получаем и не храним номера карт, сроки их действия и коды безопасности.

9.2. По платежам через QPay мы храним номер счёта на оплату, статус платежа и ответ платёжной организации.

9.3. Банковские реквизиты, введённые в форме возврата, используются только для перевода возврата и ведения финансового учёта.

9.4. Каждое изменение счёта Контрагента сохраняется вместе с историей — для защиты от мошенничества и финансового контроля.

9.5. Платежи, переведённые поставщикам услуг, возвраты путешественникам и строки выписок по нашим банковским счетам считаются финансовыми записями и хранятся в течение срока, указанного в пункте 12.3.

10. Передача за пределы Монголии

10.1. Данные и файлы Платформы хранятся в дата-центре DigitalOcean в Сингапуре. Публичные файлы распространяются через всемирную сеть CDN. Сервисы Google расположены в США.

10.2. Мы передаём данные по шифрованным соединениям (HTTPS). У каждого получателя есть собственные меры защиты данных.

10.3. Регистрируясь, вы даёте согласие, как указано в пункте 5.1, на передачу ваших данных за пределы Монголии.

11. Файлы cookie и хранилище браузера

11.1. Мы используем только те файлы cookie, которые нужны для работы Платформы:

• cookie сеанса: сохраняет ваш вход, выбранный язык и данные форм. Истекает через 120 минут бездействия;
• XSRF-TOKEN: защищает формы от поддельных запросов;
• cookie «Запомнить меня»: создаётся только тогда, когда вы отмечаете «Запомнить меня», и хранится до выхода из аккаунта;
• cookie Google reCAPTCHA: только на страницах регистрации и обратной связи.

11.2. Панель поставщика услуг сохраняет настройки отображения (цвет, состояние меню) в хранилище браузера.

11.3. Мы не используем рекламные и аналитические cookie. Если вы заблокируете cookie в браузере, вы не сможете войти и отправлять формы.

12. Сроки хранения

12.1. Данные аккаунта хранятся, пока аккаунт активен.

12.2. Данные, которые вводит пользователь (профиль, фотографии, отзывы, фото в галерее, комментарии, заметки в календаре и т. п.), хранятся до тех пор, пока этот пользователь их не удалит или Asuu Tseg App LLC не примет решение об их удалении.

12.3. Финансовые данные, такие как бронирования, платежи, возвраты, выплаты поставщикам услуг, Контрагенты и история счетов, а также строки выписок по нашим банковским счетам, хранятся 5 лет с момента операции.

12.4. Документы поставщика услуг, представленные для проверки, хранятся, пока аккаунт активен. Документы отклонённых или незавершённых заявок удаляются по решению Asuu Tseg App LLC. Запись деактивированного поставщика услуг безвозвратно удаляется вместе с его документами и фотографиями через 90 дней. Данные запрещённых поставщиков услуг хранятся, чтобы не допустить их повторной регистрации (Условия, 20.3).

12.5. Технические данные:

• сеанс: истекает через 120 минут бездействия;
• системные журналы: 30 дней;
• ссылка для сброса пароля: действительна 60 минут;
• записи об отправке писем: 30 дней; письма, которые не удалось отправить: 7 дней.

12.6. По истечении срока хранения данные удаляются или обезличиваются так, чтобы по ним больше нельзя было установить личность.

13. Безопасность

13.1. Для защиты данных мы:

• шифруем все соединения (HTTPS);
• храним пароли только в виде односторонних хешей;
• ограничиваем доступ сотрудников по ролям и полномочиям и даём каждой панели поставщика услуг отдельный доступ;
• храним документы в отдельном хранилище за временными ссылками (6.2), а особо охраняемые номера — под ограниченным доступом (6.3);
• скрываем контактные данные путешественника от поставщика услуг до оплаты;
• ограничиваем число запросов и защищаем формы регистрации с помощью reCAPTCHA.

13.2. Ни одна система не является полностью безопасной. Не сообщайте никому свой пароль. Если вы подозреваете несанкционированный доступ к своему аккаунту, смените пароль и немедленно сообщите нам на info@asuu.travel.

14. Утечки данных

14.1. В случае утечки персональных данных или несанкционированного доступа к ним мы незамедлительно принимаем меры, чтобы остановить и уменьшить ущерб.

14.2. Мы уведомляем затронутых лиц и определённые законом органы в установленный законом срок.

15. Ваши права

15.1. В соответствии с законом вы имеете право:

• знать, какие данные о вас мы обрабатываем и как их используем, и получить их копию;
• требовать исправления неверных или неполных данных (большую часть вы можете исправить сами в разделе «Мой аккаунт»);
• требовать удаления своих данных;
• отозвать своё согласие;
• обратиться с жалобой в Национальную комиссию по правам человека Монголии или в суд, если считаете, что ваши права нарушены, и требовать возмещения ущерба.

15.2. Направляйте запрос с зарегистрированного адреса электронной почты на info@asuu.travel. Мы отвечаем в установленный законом срок после подтверждения вашей личности.

15.3. Данные, которые закон обязывает нас хранить (12.3), не удаляются до истечения этого срока, но не используются ни для какой иной цели.

16. Закрытие аккаунта

16.1. Чтобы закрыть аккаунт, заполните форму за кнопкой «Закрыть аккаунт» в разделе «Мой аккаунт» или направьте запрос с зарегистрированного адреса электронной почты на info@asuu.travel.

16.2. Пока открыто бронирование, возврат или расчёт с поставщиком услуг, аккаунт не закрывается до их завершения (Условия, 20.5).

16.3. При закрытии аккаунта такие данные, как имя, электронная почта, телефон и фото, удаляются. Финансовые данные хранятся в обезличенном виде в течение срока, указанного в пункте 12.3. Ваши отзывы становятся анонимными («Путешественник») или, по вашему желанию, удаляются.

17. Несовершеннолетние и данные других лиц

17.1. Регистрироваться на Платформе могут только лица, достигшие 18 лет (Условия, 4.1). Если выяснится, что зарегистрировался человек младше 18 лет, аккаунт закрывается.

17.2. Несовершеннолетний, участвующий в поездке, учитывается в бронировании только в числе путешественников. Его имя и иные данные мы не собираем.

17.3. Тот, кто бронирует от имени других, знакомит их с настоящей Политикой (Условия, 4.7).

17.4. Прежде чем вводить данные контактного лица на случай чрезвычайной ситуации, представителя, директора или лица, приглашаемого в качестве Контрагента, уведомите это лицо и получите его согласие.

17.5. Поставщик услуг использует данные путешественника только для оказания забронированной услуги. Если он хранит их вне Платформы, он сам отвечает за их защиту (Условия, 6.6).

18. Изменения и версии

18.1. Каждая версия Политики имеет номер. Номер действующей версии и дата её вступления в силу указаны на этой странице.

18.2. Мы можем изменять Политику при изменении закона, услуг Платформы или получателей данных. О существенных изменениях сообщается на Платформе и на ваш зарегистрированный адрес электронной почты не менее чем за 14 дней до их вступления в силу.

18.3. Продолжая пользоваться Платформой после вступления в силу новой версии, вы считаетесь принявшим её. Если вы с ней не согласны, вы можете закрыть аккаунт в порядке, предусмотренном разделом 16.

18.4. Политика может публиковаться на нескольких языках. При расхождениях преимущественную силу имеет текст на монгольском языке.

19. Контакты

19.1. Вопросы, запросы и жалобы, касающиеся персональных данных, направляйте:

• Asuu Tseg App LLC, регистрационный номер 4291263;
• адрес: здание Asuu Tseg App LLC, Хийморь Гарден, 24-й хороолол, 10-й баг, сомон Дархан, аймак Дархан-Уул, Монголия;
• телефон: +976 86085522;
• электронная почта: info@asuu.travel.