Политика обработки персональных данных

Редакция от 8 октября 2026 г. Действует с 8 октября 2026 г.

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о ПДн) и определяет порядок и условия обработки персональных данных пользователей сайта mnogootdiha.ru и его поддоменов (далее — Сайт, платформа «Много отдыха»).

1.2. Оператор персональных данных: [не заполнено: реквизиты оператора (наименование, ОГРН, ИНН, адрес)] (далее — Оператор, Платформа).

1.3. Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, Роскомнадзора под номером [не заполнено: регистрационный номер в реестре операторов ПДн (Роскомнадзор)].

1.4. Лицо, ответственное за организацию обработки персональных данных (статья 22.1 Закона о ПДн): [не заполнено: ответственный за организацию обработки ПДн]. Адрес для обращений по вопросам персональных данных: help@mnogootdiha.ru, почтовый адрес: [не заполнено: почтовый адрес для претензий и запросов]. Общие вопросы о работе Сайта: help@mnogootdiha.ru.

1.5. Политика опубликована в свободном доступе на странице mnogootdiha.ru/legal/privacy. Термины используются в значениях, установленных статьёй 3 Закона о ПДн.

1.6. Политика не является согласием на обработку персональных данных. Согласия оформляются отдельными документами: согласие на обработку персональных данных, согласие на обработку персональных данных ребёнка, включая сведения о состоянии здоровья, согласие на передачу персональных данных организатору лагеря и согласие на получение рекламных рассылок.

2. Категории субъектов персональных данных

• Пользователи — родители (законные представители), зарегистрировавшиеся на Сайте. Пользоваться Сайтом могут только лица старше 18 лет.
• Дети (несовершеннолетние), данные которых предоставляют их родители (законные представители) при заполнении анкеты и бронировании смены.
• Представители и сотрудники организаторов детского отдыха, работающие в кабинете организатора.
• Посетители Сайта без регистрации (в части технических данных и cookie).
• Лица, данные которых организатор вносит в свою CRM на Платформе (обрабатываются по поручению организатора, раздел 7).

3. Обрабатываемые персональные данные

3.1. Данные пользователя (родителя): номер телефона и (или) адрес электронной почты (используются как логин); фамилия, имя, отчество; город; фотография профиля (по желанию); история бронирований и оплат (сумма, способ оплаты, статус; данные банковских карт Оператор не получает и не хранит — они вводятся только на форме платёжного провайдера); сообщения во встроенном чате с лагерями; отзывы; уведомления; избранное; журнал согласий (документ, редакция, дата и время, IP-адрес, сведения о браузере).

3.2. При оформлении брони в журнале согласий дополнительно фиксируются данные законного представителя, необходимые для письменного согласия (статья 9 часть 4 Закона о ПДн): адрес, серия и номер паспорта, дата выдачи и выдавший орган. Эти данные хранятся только в журнале согласий и в сформированном документе согласия.

3.3. Данные ребёнка: фамилия, имя, отчество; дата рождения; пол; вид и номер документа (свидетельство о рождении или паспорт); интересы. Сведения о состоянии здоровья (специальная категория персональных данных, статья 10 Закона о ПДн): аллергии, хронические заболевания, особенности питания (диета), группа здоровья, умение плавать, медицинские документы (справка 079/у, полис ОМС, сертификат о прививках, справка для бассейна).

3.4. Данные представителей организаторов: фамилия, имя, отчество, телефон и (или) email, роль в компании; сведения о компании-организаторе (наименование, ИНН, ОГРН, КПП, руководитель, адрес, банковские реквизиты) — в части, относящейся к физическим лицам (руководитель, индивидуальный предприниматель).

3.5. Технические данные: IP-адрес, сведения о браузере (user agent), дата и время входа, cookie, необходимые для работы Сайта (см. Политику cookie). Системы веб-аналитики и рекламные cookie на Сайте не используются.

3.6. Оператор не обрабатывает биометрические персональные данные и сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, судимости.

3.7. Персональные данные родителя и ребёнка могут быть получены Оператором от организатора отдыха, оформляющего бронирование по обращению родителя (например, по телефону); организатор подтверждает наличие согласия родителя, что фиксируется в журнале согласий, а родитель получает уведомление с указанием организатора и порядка обращения к Оператору.

4. Цели и правовые основания обработки

Цель	Данные	Правовое основание
Отправка одноразового кода для входа или регистрации (до принятия согласия)	Телефон или email, введённый в форму входа; IP-адрес	Действия по инициативе субъекта, направленные на заключение Пользовательского соглашения (п. 5 ч. 1 ст. 6)
Регистрация и вход, ведение аккаунта	Телефон, email, ФИО, город, фото, технические данные	Согласие (п. 1 ч. 1 ст. 6); исполнение Пользовательского соглашения (п. 5 ч. 1 ст. 6)
Направление и рассмотрение заявки, бронирование и оплата смены, передача заявки и брони организатору, документы по брони (путёвка, договор)	Данные родителя и ребёнка (кроме сведений о здоровье), данные брони и оплат	Согласие; исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6); согласие на передачу организатору
Обеспечение безопасности и здоровья ребёнка в лагере	Сведения о состоянии здоровья ребёнка, медицинские документы	Согласие в письменной форме законного представителя (п. 1 ч. 2 ст. 10)
Связь с лагерем и поддержкой, уведомления о бронях	Контакты, сообщения, уведомления	Согласие; исполнение договора
Отзывы о лагерях	Имя, текст и оценки отзыва, сведения о поездке	Согласие
Бухгалтерский и налоговый учёт, исполнение требований закона (в т.ч. 54-ФЗ, 402-ФЗ)	Данные брони, платежей, возвратов, договоры	Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6)
Подтверждение полученных согласий	Журнал согласий	Исполнение обязанности оператора доказать получение согласия (ч. 3 ст. 9); п. 2 ч. 1 ст. 6
Веб-аналитика: как посетители пользуются Сайтом (Яндекс Метрика)	Cookie-идентификатор, IP-адрес, сведения о браузере и устройстве, просмотренные страницы и события на Сайте	Согласие, данное в баннере cookie (п. 1 ч. 1 ст. 6); без согласия счётчик не загружается
Источник перехода на Сайт для организатора	Метки utm_*, адрес сайта-источника, первая страница визита	Исполнение договора и законный интерес в оценке каналов привлечения (п. 5 и 7 ч. 1 ст. 6); контакты не передаются
Рекламные рассылки	Email, имя, интересы по бронированиям	Отдельное согласие (ч. 1 ст. 18 Федерального закона «О рекламе»)
Работа организатора в кабинете и CRM	Данные сотрудников организатора, данные клиентов организатора	Исполнение договора (оферты для организаторов); поручение организатора (ч. 3 ст. 6)

5. Действия и способы обработки

5.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Обработка ведётся с использованием средств автоматизации и смешанным способом. Решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки не принимаются.

5.3. Оператор не распространяет персональные данные неограниченному кругу лиц. Отзывы публикуются только с именем автора (без фамилии и контактов).

6. Передача персональных данных третьим лицам

6.1. Организатор выбранного лагеря. Данные родителя и ребёнка передаются организатору смены, которую выбрал пользователь, на основании отдельного согласия на передачу. Контакты родителя и ФИО, дата рождения и пол ребёнка видны организатору с начала оформления заявки или брони (для рассмотрения заявки и заключения договора по инициативе родителя, п. 5 ч. 1 ст. 6 Закона о ПДн); сведения о здоровье ребёнка и медицинские документы — только после оплаты брони. Организатор обрабатывает полученные данные как самостоятельный оператор и отвечает за соблюдение Закона о ПДн. Если пользователь задаёт вопрос организатору в чате до оформления бронирования, организатор видит только имя пользователя и переписку на Сайте; телефон и адрес электронной почты передаются организатору с момента начала оформления бронирования у этого организатора (на основании согласия на передачу персональных данных).

6.2. Лица, обрабатывающие данные по поручению Оператора (часть 3 статьи 6 Закона о ПДн):

• хостинг-провайдер: [не заполнено: хостинг-провайдер и адрес центра обработки данных] — хранение данных на серверах;
• сервис доставки электронной почты Sendinblue SAS (сервис Brevo), Франция — отправка писем (коды входа, уведомления о бронях, рассылки при наличии согласия); передаются адрес электронной почты и текст письма;
• ООО «ЯНДЕКС» (сервис «Яндекс Метрика», Россия) — веб-аналитика, только при согласии на аналитические cookie;
• платёжный провайдер: [не заполнено: платёжный провайдер] — приём платежей и формирование кассовых чеков. На момент публикации настоящей редакции приём онлайн-платежей не подключён: смены оформляются заявками без оплаты, платёжный провайдер персональные данные не получает.

6.3. SMS-провайдеры не используются. PDF-документы (путёвка, договор, согласия) формируются на собственном сервере Оператора без передачи третьим лицам.

6.4. Трансграничная передача. Передача адреса электронной почты и текста письма сервису Brevo (Франция) является трансграничной передачей в государство — сторону Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных. Она осуществляется после записи данных в базы данных, находящиеся в Российской Федерации, с уведомлением Роскомнадзора в соответствии со статьёй 12 Закона о ПДн.

6.5. Данные могут быть переданы государственным органам по их законному запросу.

7. Обработка по поручению организаторов

7.1. Данные клиентов, которые организатор самостоятельно вносит в свою CRM на Платформе (лиды, контакты, переписка, рассылки организатора), обрабатываются Оператором по поручению организатора на условиях Оферты для организаторов. Оператором этих данных является организатор, и он отвечает за наличие правовых оснований для их обработки.

8. Локализация

8.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение их с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о ПДн). Место хранения: [не заполнено: хостинг-провайдер и адрес центра обработки данных].

9. Сроки обработки и хранения

• Данные аккаунта — до удаления аккаунта или отзыва согласия. После удаления аккаунт обезличивается.
• Сведения о состоянии здоровья ребёнка и медицинские документы — автоматически удаляются через 30 дней после окончания последней смены ребёнка, если нет новой брони. Родитель может удалить их раньше в личном кабинете.
• Сведения о состоянии здоровья ребёнка, который не совершал поездок (нет действующего резерва и оплаченных бронирований), удаляются автоматически по истечении 365 дней с последнего изменения анкеты ребёнка или последней попытки бронирования.
• Данные о бронированиях, платежах, возвратах и договоры — 5 лет после окончания года, в котором они созданы (статья 29 Федерального закона № 402-ФЗ, налоговое законодательство), при удалении аккаунта — в обезличенном, насколько это возможно, виде.
• Журнал согласий и подписанные согласия — 3 года после отзыва согласия или прекращения обработки (подтверждение согласия, срок исковой давности).
• Технические журналы — до 6 месяцев.

9.1. По достижении целей обработки или истечении сроков данные уничтожаются или обезличиваются в течение 30 дней, если иное не предусмотрено законом.

10. Права субъекта персональных данных

10.1. Субъект вправе:

• получать сведения об обработке своих персональных данных (статья 14 Закона о ПДн);
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных (часть 2 статьи 9);
• отозвать согласие на рекламные рассылки в любой момент;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

10.2. В личном кабинете доступны: «Скачать мои данные» (выгрузка в формате JSON), переключатель рекламных рассылок, «Удалить аккаунт и отозвать согласие». Удаление аккаунта недоступно, пока есть действующие оплаченные брони, — в этом случае напишите на help@mnogootdiha.ru.

10.3. Запросы направляются на help@mnogootdiha.ru или почтой по адресу [не заполнено: почтовый адрес для претензий и запросов]. Запрос должен позволять идентифицировать субъекта (например, содержать телефон или email аккаунта). Оператор отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (часть 7 статьи 14 Закона о ПДн).

10.4. При отзыве согласия Оператор прекращает обработку и уничтожает данные в течение 10 рабочих дней, если иное не предусмотрено законом или договором, либо продолжает обработку при наличии иных правовых оснований (например, хранение платёжных документов).

11. Меры защиты

11.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о ПДн, в том числе:

• назначение ответственного за организацию обработки персональных данных, издание локальных актов;
• разграничение доступа по ролям: сотрудники организатора видят только данные своих броней и в пределах своих прав, медицинские сведения — только по оплаченной брони;
• шифрование соединений (HTTPS), вход по одноразовому коду без паролей;
• журналирование действий пользователей и сотрудников (журнал аудита);
• автоматическое удаление медицинских данных по истечении срока хранения;
• оценка вреда и контроль соответствия обработки требованиям закона.

11.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов и о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона о ПДн).

12. Cookie

12.1. Сайт использует необходимые cookie и локальное хранилище браузера, а аналитические cookie Яндекс Метрики — только с согласия, данного в баннере cookie. Подробнее — в Политике cookie.

13. Изменение Политики

13.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с указанием даты. Если изменения касаются документов, принятие которых обязательно, пользователю будет предложено ознакомиться с новой редакцией при следующем входе.