Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые ООО «МАГАДАН ФУД» (далее — «Оператор»), с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Политика разработана в соответствии с действующим законодательством Российской Федерации, в том числе с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») в редакции, действующей на дату утверждения Политики, а также с Гражданским, Трудовым и Налоговым кодексами РФ, Федеральными законами № 149-ФЗ «Об информации…», № 38-ФЗ «О рекламе», № 54-ФЗ «О применении ККТ», Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21 и иными нормативными правовыми актами РФ в области персональных данных.

1.3. Оператор внесён в Реестр операторов, осуществляющих обработку персональных данных (ведёт Роскомнадзор), под регистрационным номером 77-22-049871.

1.4. Оператор осуществляет деятельность в сфере общественного питания через несколько заведений и информационных ресурсов. Настоящая Политика действует в отношении обработки персональных данных гостей во всех заведениях, на сайтах и в мобильных приложениях Оператора и распространяется на все такие ресурсы независимо от конкретного бренда/заведения. Обработка ведётся посредством:

• сайтов Оператора (в том числе https://alaska.moscow, https://kollegi.moscow, https://kollegi.bar и иных информационных ресурсов Оператора) (далее совместно — «Сайт»);
• мобильных приложений программы лояльности Оператора (реализованы как мини-приложения в мессенджере) и сервисных ботов в мессенджере (далее совместно — «Приложение»);
• POS-системы Saby Presto, используемой в заведениях Оператора;
• иных каналов взаимодействия с гостями (телефон, электронная почта, посещение заведения).

1.5. Политика подлежит обязательному опубликованию на Сайте в порядке ч. 2 ст. 18.1 152-ФЗ и доступна неограниченному кругу лиц по постоянному URL https://alaska.moscow/privacy.

2. Сведения об Операторе

3. Используемые термины

Термины применяются в значении, установленном ст. 3 152-ФЗ: персональные данные (ПДн), оператор, обработка ПДн, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание, информационная система персональных данных (ИСПДн), субъект персональных данных, согласие, трансграничная передача, поручение на обработку. Дополнительно:

• Cookies — небольшие текстовые файлы, сохраняемые в браузере пользователя при посещении Сайта.
• ClientID Яндекс.Метрики — идентификатор браузера, присваиваемый счётчиком Яндекс.Метрики.
• yclid (Yandex Click ID) — идентификатор клика по рекламному объявлению в системе Яндекс.Директ.
• UTM-метка — параметр в URL для отслеживания рекламных кампаний.
• Мессенджер — используемое Оператором стороннее приложение мгновенного обмена сообщениями, в среде которого работают Приложение и сервисный бот Клуба лояльности.

Трансграничную передачу персональных данных Оператор не осуществляет.

4. Категории субъектов и категории обрабатываемых персональных данных

4.1. Гости, оформляющие бронь на Сайте или по телефону

Цель: заключение и исполнение договора возмездного оказания услуг общественного питания, бронирование столика. ПДн (для исполнения договора): имя (имя в брони); номер мобильного телефона; дата и время визита, количество гостей; комментарий к брони (по желанию). Техническая метаинформация (минимально необходимая для безопасности транзакции): IP-адрес устройства, User-Agent браузера, дата и время оформления брони.

4.2. Гости, давшие отдельное согласие на маркетинговую веб-аналитику

Цель: оценка эффективности рекламных каналов, измерение офлайн-конверсий («клик по рекламе → визит»). ПДн (косвенно идентифицирующие): ClientID Яндекс.Метрики; yclid; UTM-метки; referrer; технические данные браузера и устройства.

Связка указанных идентификаторов с номером телефона из брони хранится в служебной таблице базы данных Оператора не более 60 (шестидесяти) календарных дней с момента создания записи; по истечении срока поле с номером телефона затирается автоматизированной TTL-процедурой. После уничтожения номера телефона оставшиеся данные (yclid, ClientID, дата, сумма) не позволяют без использования дополнительной информации определить принадлежность к конкретному субъекту (п. 9 ст. 3 152-ФЗ) и обрабатываются исключительно в обобщённом виде для статистических целей.

4.3. Участники программы лояльности (Приложение Клуба лояльности «Аляска»)

Цель: ведение клуба лояльности, начисление и списание бонусов, идентификация гостя на кассе. ПДн: идентификатор пользователя в мессенджере и публичное имя профиля, отображаемые мессенджером по выбору пользователя (имя, фамилия, фото профиля); номер мобильного телефона; имя гостя; дата рождения (по желанию — для бонуса ко дню рождения); номер карты лояльности (выпускается Оператором); статус (уровень), баланс бонусов, история начислений и списаний; сведения о покупках (дата, сумма чека, состав, точка продаж — поступают из POS-системы Saby Presto); история взаимодействия с уведомлениями программы лояльности.

Оператор не использует фото профиля для биометрической идентификации. Изображение отображается в служебном интерфейсе и в Приложении в исходном виде как элемент интерфейса. Биометрические персональные данные в смысле ст. 11 152-ФЗ Оператором не обрабатываются.

4.4. Подписчики маркетинговых рассылок и фирменного канала Оператора в мессенджере

Цель: информирование о специальных предложениях, акциях, мероприятиях, новостях гастробара. ПДн: идентификатор пользователя в мессенджере; факт подписки на канал/рассылку; история отправленных сообщений и реакций (открытие, переход по ссылке, использование промокода).

4.5. Посетители Сайта (без идентификации)

Цель: обеспечение работы и безопасности Сайта (защита от автоматизированных атак, rate-limit), измерение базовой статистики. ПДн: IP-адрес; User-Agent; cookies, в том числе сессионные и cookies Яндекс.Метрики; посещённые страницы и время посещения.

4.6. Контрагенты — физические лица (включая ИП и представителей юридических лиц)

ПДн: ФИО, должность, контактный телефон, e-mail, реквизиты, подпись. Цель: исполнение договорных обязательств, бухгалтерский учёт.

4.7. Работники Оператора

Оператор обрабатывает персональные данные своих работников для целей трудовых отношений, кадрового и бухгалтерского учёта на основании Трудового кодекса РФ и Налогового кодекса РФ. Порядок такой обработки регулируется отдельными кадровыми документами Оператора и не связан с обработкой данных гостей в системе бронирования и программе лояльности, которой посвящена настоящая Политика.

Специальные категории и биометрические ПДн. Специальные категории персональных данных и биометрические персональные данные в системе бронирования и программе лояльности Оператором не обрабатываются.

5. Цели обработки персональных данных

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, на основании исключительно автоматизированной обработки (ч. 1 ст. 16 152-ФЗ).

6. Правовые основания обработки (по целям)

• Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ): цели 5.1, 5.2 (в необходимой части), 5.4 (идентификация гостя и учёт бонусов в рамках Правил программы лояльности — договор присоединения), 5.9.
• Согласие субъекта (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ): цель 5.3 (маркетинговая веб-аналитика) — отдельным неотмеченным по умолчанию чек-боксом в форме брони; цель 5.5 (рассылки, поздравления) — отдельным согласием при регистрации в клубе/подписке. Обработка в целях продвижения товаров, работ, услуг допускается только при предварительном согласии субъекта (ч. 1 ст. 15 152-ФЗ); для рекламных сообщений по сетям электросвязи также применяется ч. 1 ст. 18 ФЗ № 38-ФЗ «О рекламе».
• Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ): цели 5.7 (в части обращений), 5.8 (налоговый/кассовый учёт по ФЗ № 54-ФЗ).
• Законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ): цель 5.6 (безопасность Сайта/Приложения), 5.7 (защита прав в суде), обработка технической метаинформации при оформлении брони — в минимально необходимом объёме.
• Обязанности работодателя и налогового агента (глава 14 ТК РФ, НК РФ): цель 5.10.

Субъект вправе в любой момент отозвать согласие в порядке раздела 10. Отзыв согласия не затрагивает обработку, осуществляемую без согласия (исполнение договора, налоговый учёт).

7. Способы и порядок обработки

7.1. Обработка осуществляется как с использованием средств автоматизации, так и без них (бумажные носители — журналы брони, кадровые документы, договоры), с соблюдением ст. 19 152-ФЗ.

7.2. Действия с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) уполномоченным лицам, обезличивание, блокирование, удаление, уничтожение.

7.3. Способы сбора: через форму на Сайте (по защищённому каналу HTTPS/TLS); через Приложение и сервисного бота в мессенджере; через POS-систему Saby Presto на кассе; по телефону; из общедоступных источников (отзывы на картах — без сопоставления с другими данными без согласия); от работника лично при трудоустройстве.

7.4. Запись и хранение: в базе данных PostgreSQL на выделенном сервере в центре обработки данных на территории Российской Федерации (см. п. 8.3); в кэш-системе Redis (временные данные сессий); в POS-системе Saby Presto (п. 8.2); в Яндекс.Метрике — только обезличенные данные веб-аналитики и рекламные идентификаторы без имени и телефона (п. 8.1); на бумажных носителях — в запираемых шкафах помещения Оператора.

7.5. Локализация (ч. 5 ст. 18 152-ФЗ): запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в г. Москве.

7.6. Трансграничная передача персональных данных Оператором не осуществляется; уведомление по ст. 12 152-ФЗ не направляется ввиду отсутствия такой передачи.

8. Передача персональных данных третьим лицам

Оператор передаёт ПДн третьим лицам исключительно на основании поручения на обработку (ч. 3 ст. 6 152-ФЗ) либо на основании федерального закона. Распространение (раскрытие неопределённому кругу лиц) не осуществляется.

8.1. ООО «ЯНДЕКС»

ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16. Передаётся: ClientID Яндекс.Метрики; yclid; дата и сумма брони/визита; UTM-метки. Имя, телефон, e-mail и содержание заказа не передаются. Цель: веб-аналитика и измерение офлайн-конверсий. Основание передачи: поручение на обработку (акцепт Условий использования Яндекс.Метрики). Серверы — на территории РФ.

8.2. ООО «КОМПАНИЯ «ТЕНЗОР» (Saby Presto)

ИНН 7605016030, 150000, г. Ярославль, Московский пр-т, д. 12. Передаётся: имя гостя; номер телефона; дата/время визита; комментарий к брони; идентификатор карты лояльности; сведения о чеках (сумма, состав, скидки, бонусы). Цель: приём брони, обслуживание на кассе, ведение программы лояльности. Основание передачи: поручение на обработку (акцепт лицензионного соглашения Saby/СБИС). Серверы — на территории РФ.

8.3. Хостинг-провайдер

Размещение базы данных Оператора осуществляется в центре обработки данных на территории Российской Федерации. Провайдер: ООО «РЕГ.РУ» (сервис REG.RU), ИНН 7733568767, ОГРН 1067746613494, 125252, г. Москва, проезд Берёзовой рощи, д. 12. Передаётся: технический доступ к базе данных Оператора (без целевого доступа хостинг-провайдера к содержанию ПДн). Основание: поручение на обработку (договор аренды виртуального сервера с условиями конфиденциальности). При смене хостинг-провайдера Оператор вносит изменения в Политику.

8.4. Сервис мессенджера

Идентификатор пользователя в мессенджере, публичное имя профиля и сведения о подписке/взаимодействии с Приложением и каналом обрабатываются в среде стороннего мессенджера. Указанные данные пользователь сообщает мессенджеру самостоятельно при регистрации в нём; Оператор получает их в рамках штатного функционала программного интерфейса мессенджера при добровольном взаимодействии пользователя с Приложением. Дальнейшая запись и хранение полученных данных осуществляются в базе данных Оператора на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Оператор не передаёт в мессенджер дополнительных персональных данных сверх тех, что субъект сообщает мессенджеру самостоятельно (в частности, не передаёт телефон, ФИО гостя, бонусный баланс). Условия обработки данных в среде мессенджера определяются правилами соответствующего сервиса.

8.5. Иные передачи

По мотивированному запросу уполномоченных государственных органов, суда, прокуратуры в случаях, установленных законом; кредитным организациям — для перечисления заработной платы работникам; налоговым органам и органам социального/пенсионного страхования — в установленном законом объёме.

9. Сроки хранения

По истечении срока хранения ПДн уничтожаются в порядке, определённом локальным актом Оператора, с составлением Акта об уничтожении по форме Приказа Роскомнадзора от 28.10.2022 № 179; допускается обезличивание вместо уничтожения. Субъект вправе требовать досрочного уничтожения, за исключением случаев, когда обработка необходима для исполнения договора, обязанностей по закону либо защиты прав Оператора в суде.

10. Права субъекта и порядок их реализации

10.1. Субъект имеет право на: получение информации об обработке его ПДн; уточнение, блокирование или уничтожение ПДн, если они неполны, устаревшие, неточны, незаконно получены или не являются необходимыми для цели (ч. 1 ст. 14 152-ФЗ); отзыв согласия (ч. 2 ст. 9 152-ФЗ); право требовать немедленного прекращения обработки его ПДн в целях продвижения товаров, работ, услуг (маркетинг) (ст. 15 152-ФЗ); обращение в Роскомнадзор или суд (ст. 17, ст. 24 152-ФЗ).

10.2. Способы обращения: e-mail alaska_msk@mail.ru; почтой на 101000, г. Москва, переулок Бобров, д. 4, стр. 1, ком. 18; по телефону 8 (914) 030-09-00 для предварительного обсуждения.

10.3. Для идентификации в обращении указываются: ФИО; номер телефона, использованный при взаимодействии; сведения, подтверждающие отношения с Оператором (дата брони, номер карты и т. п.); содержание обращения и способ ответа; подпись (для бумажных обращений).

10.4. Срок рассмотрения — 10 рабочих дней с даты получения обращения; при необходимости проверки срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ст. 20 152-ФЗ).

10.5. Отзыв согласия на рассылки возможен также: через настройки профиля в Приложении («Отписаться от рассылок»); блокировкой сервисного бота в мессенджере; сообщением по любому каналу связи из раздела 2.

10.6. Отказ от Cookies и Яндекс.Метрики — через баннер согласия на Сайте, настройки браузера либо блокировщик Яндекс.Метрики.

11. Меры обеспечения безопасности

11.1. Оператор определил уровень защищённости ИСПДн — УЗ-4 (ПП РФ № 1119): иные категории ПДн (не специальные, не биометрические), число субъектов менее 100 000, актуальны угрозы 3-го типа. Оформлено отдельным Актом определения уровня защищённости.

11.2. Организационные меры (ст. 18.1, 19 152-ФЗ, ПП № 1119, Приказ ФСТЭК № 21): назначение ответственного за организацию обработки ПДн; утверждение и поддержание Политики и локальных актов; соглашения о неразглашении с работниками и подрядчиками, имеющими доступ к ПДн; учёт носителей, обращений субъектов и инцидентов; внутренний контроль не реже 1 раза в год.

11.3. Технические меры: разграничение доступа по принципу минимальных привилегий (роли в БД, индивидуальные учётные записи); парольная аутентификация, запрет хранения паролей в открытом виде; ежедневное резервное копирование, хранение бэкапов в зашифрованном виде (AES-256), журналирование; шифрование канала (TLS 1.2+/HTTPS) на Сайте и в API; защита от вредоносного ПО и своевременное обновление; межсетевое экранирование и защита от DDoS; маскирование телефонов в служебных журналах; обезличивание/минимизация данных, передаваемых в системы аналитики (в Яндекс.Метрику — только идентификаторы и суммы, без имени и телефона); физическая защита помещений и бумажных носителей.

11.4. Реагирование на инциденты: при установлении факта неправомерной/случайной передачи ПДн, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор о факте инцидента, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ; Приказ Роскомнадзора № 187 от 14.11.2022).

11.5. Оценка эффективности мер осуществляется в форме внутреннего контроля (п. 6 Приказа ФСТЭК № 21, ч. 4 ст. 19 152-ФЗ). Обязательная аттестация ИСПДн для Оператора не предусмотрена.

12. Использование Cookie и аналогичных технологий

12.1. Сайт использует cookies и аналогичные технологии для работы Сайта, сохранения настроек, измерения аудитории и эффективности рекламы.

12.3. До получения согласия пользователя на Сайте загружаются только технические (строго необходимые) cookies. Аналитические и маркетинговые cookies (в т. ч. Яндекс.Метрика, yclid, UTM) загружаются исключительно после согласия пользователя через баннер согласия. Пользователь вправе принять, отклонить или настроить отдельные категории и изменить согласие в любое время.

12.4. Способы отказа: баннер согласия на Сайте; настройки браузера; блокировщик Яндекс.Метрики; приватный режим браузера. Отключение технических cookies может нарушить работу Сайта.

13. Изменение Политики

13.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения на Сайте по адресу https://alaska.moscow/privacy.

13.2. При существенных изменениях (новые цели, новые получатели, иные основания) Оператор уведомляет размещением баннера на Сайте не менее 14 календарных дней; при изменении целей, на которые ранее получено согласие, — запрашивает новое согласие.

13.3. Действующая редакция всегда доступна по постоянному адресу https://alaska.moscow/privacy; дата редакции указана в начале документа. Архив редакций хранится Оператором и предоставляется по запросу.

14. Ответственный за организацию обработки ПДн и контакты

Уполномоченный орган по защите прав субъектов ПДн — Роскомнадзор: 109074, г. Москва, Китайгородский пр., д. 7, стр. 2; https://rkn.gov.ru; электронная приёмная https://rkn.gov.ru/treatments/ask-question/.

Утверждено приказом Генерального директора ООО «МАГАДАН ФУД» от 06 июля 2026 г. № 1/ПДн.