GDPR · Регламент (ЕС) 2016/679

Защита персональных данных

Здесь написано, какие ваши данные появляются у Czech Travel, зачем они нужны, сколько мы их держим и как стереть их одним письмом. Без юридического тумана. Если какой-то абзац непонятен — это наша недоработка: напишите, и мы перепишем его человеческим языком.

Версия 2.0 · действует с 27 июля 2026 года · заменяет версию от 21 июля 2026 года

1. Кто отвечает за ваши данные

Администратором (контролёром) персональных данных в смысле статьи 4 GDPR является:

Уполномоченного по защите данных (DPO) мы не назначали и по закону не обязаны. Статья 37 GDPR требует этого от органов власти и от компаний, чья основная деятельность — систематическое масштабное наблюдение за людьми или обработка особых категорий данных в крупном масштабе. Туристическая компания нашего размера под эти критерии не подпадает. Все запросы разбирает лично директор — Андрей Кульбидюк.

2. Что происходит с данными на самом сайте

Пункт, которого обычно нет у конкурентов, — а зря: главный вопрос не «что написано в политике», а «что сайт делает на самом деле». Вот полный список.

2.1. Формы заявок

На сайте четыре формы: заявка на консультацию на главной, конструктор трансфера, форма группового трансфера из Германии и форма отзыва. Ни одна из них не отправляет данные на сервер Czech Travel. Скрипт в вашем браузере собирает из полей готовый текст сообщения и открывает WhatsApp или Telegram — дальше вы решаете, отправлять его или закрыть окно. У нас нет ни базы заявок на сайте, ни формы с почтовой отправкой, ни скрытой пересылки на e-mail.

2.2. «Моя поездка»

Выбранные экскурсии, трансферы, даты, состав группы и промокод хранятся в localStorage вашего браузера под ключом ct_plan. Это память на вашем устройстве: она нужна, чтобы план не исчез при закрытии вкладки. К нам эти данные не поступают, пока вы сами не отправите план в мессенджер.

2.3. Раздел «Вопросы и ответы»

Обсуждения под вопросами работают на сервисе Cusdis (cusdis.com). Скрипт загружается только после того, как вы нажмёте «Обсудить и ответить», — на остальных страницах он не подключается вовсе. Если вы оставляете комментарий, к оператору сервиса попадают: указанное вами имя (можно псевдоним), адрес e-mail (поле необязательное — оставьте пустым, если не хотите получать уведомление об ответе), текст комментария и адрес страницы. Все комментарии проходят премодерацию: до одобрения их не видит никто, кроме нас.

2.4. Хостинг

Сайт размещён на инфраструктуре Vercel. Как любой веб-сервер, он фиксирует технические запросы: IP-адрес, время, адрес страницы, тип браузера. Это нужно для работы и защиты сайта от атак. Мы к этим журналам не обращаемся в маркетинговых целях и не связываем их с конкретными людьми.

2.5. Шрифты

Шрифты Fraunces и Satoshi подгружаются с серверов Google Fonts и Fontshare. Честно предупреждаем: при этом браузер обращается к их серверам, и им становится виден ваш IP-адрес. Формально это происходит до того, как вы что-либо нажали. Мы переносим файлы шрифтов на собственный сервер, чтобы это обращение исчезло совсем — до завершения переноса считайте этот абзац предупреждением, а не отговоркой.

2.6. Внешние ссылки

Кнопки WhatsApp, Telegram, Instagram, Facebook, ссылки на Google Maps и TripAdvisor уводят вас на чужие сайты. Оттуда вы попадаете под их политики и их cookie. Мы не встраиваем эти сервисы в страницу виджетами и iframe — именно чтобы они не следили за вами, пока вы просто читаете наш сайт.

3. Какие данные мы получаем

Ровно столько, сколько нужно, чтобы подготовить предложение и провезти вас по маршруту. Ни одного лишнего поля.

4. Зачем, на каком основании и как долго мы храним

Регулятор требует называть конкретный срок, а не отписку «столько, сколько потребуется». Ниже — конкретные сроки.

Если данные больше не нужны ни для одной из этих целей — мы удаляем их раньше срока. Если закон требует хранить дольше или идёт спор — храним дольше и объясняем почему.

5. Данные о здоровье и другие особые категории

Мы возим людей на курорты, и разговор о здоровье возникает сам собой. Поэтому проговорим отдельно.

• Мы не запрашиваем диагнозы, справки, выписки и назначения. В формах на сайте нет таких полей.
• Мы не передаём сведения о вашем здоровье никому, кроме того санатория или отеля, который вы сами выбрали, — и только в объёме, необходимом для брони.

• Если вы сами напишете, что вам нужен лифт, диета без глютена, кислородная терапия или курс по конкретному профилю, — мы обработаем это только с вашего явного согласия (ст. 9(2)(a) GDPR), которым считается сам факт того, что вы сообщили это добровольно ради своей поездки.
• Такие сведения мы держим до конца поездки и стираем в течение 30 дней после неё.

Практический совет. Не пересылайте сканы паспортов, страховок и медицинских документов через Telegram. Для этого есть info@czech-travel.cz — а лучше принесите оригинал в офис на Lázeňská 1. Причина в разделе 8.

6. Данные детей

Наши услуги мы предлагаем взрослым. Ребёнок не может забронировать поездку самостоятельно: договор заключает родитель или другой законный представитель, он же сообщает возраст ребёнка — это нужно для детской цены, кресла в машине и правил входа в некоторые объекты. Больше никаких сведений о детях мы не собираем и никогда не обращаемся к детям с рекламой. Если вы считаете, что мы получили данные ребёнка без вашего ведома, напишите — удалим немедленно.

7. Кому мы передаём данные

Регулятор прямо называет фразу «мы можем передавать данные партнёрам» нарушением прозрачности. Поэтому вот поимённый список.

В этом списке нет и не появится ни одной рекламной сети, ни одного брокера данных и ни одного «партнёра по маркетингу». Ваши данные видит только тот, кто участвует в вашей поездке или обязан их видеть по чешскому закону.

8. Передача за пределы Европейского союза

Внутри ЕС и ЕЭЗ GDPR действует напрямую, дополнительных условий не требуется. Часть сервисов работает шире:

• Vercel, Google, Meta. Передача в США опирается на решение Еврокомиссии об адекватности защиты (EU–U.S. Data Privacy Framework) и на стандартные договорные условия по статье 46 GDPR (решение Комиссии 2021/914).
• Telegram. Работает за пределами ЕС, и решения об адекватности для его юрисдикции нет. Мы отвечаем в Telegram, потому что клиентам так удобно, но именно поэтому просим не пересылать через него сканы документов и медицинские сведения. Для этого есть e-mail и офис.

Если вы хотите общаться только по каналам внутри ЕС — напишите на info@czech-travel.cz или позвоните. Мы никогда не потребуем мессенджер как единственный способ связи.

9. Как мы защищаем данные

• Сайт работает только по HTTPS — соединение шифруется.
• Доступ к переписке и заказам есть у сотрудников, которые непосредственно ведут вашу поездку, и ни у кого больше.
• На рабочих почтовых и мессенджер-аккаунтах включена двухфакторная аутентификация.
• Бумажные документы хранятся в закрытом шкафу в офисе, а не на столе у окна.
• С подрядчиками, которые обрабатывают данные по нашему поручению, заключены договоры об обработке по статье 28 GDPR.
• Если утечка всё же случится и она будет угрожать вашим правам, мы сообщим в надзорный орган в течение 72 часов и напишем вам напрямую — без попыток замолчать.

10. Автоматические решения и профилирование

Их нет. Мы не строим ваш профиль, не оцениваем вас алгоритмом, не меняем цену в зависимости от вашего устройства или истории просмотров и не принимаем решений о вас без участия человека. Каждую заявку читает менеджер.

11. Ваши права

Как воспользоваться

Напишите на info@czech-travel.cz с темой «GDPR» либо принесите заявление в офис на Lázeňská 1. Достаточно свободной формы — никаких бланков.

• Срок ответа — 30 дней. Если запрос сложный, закон разрешает продлить ещё на два месяца, но мы обязаны предупредить вас об этом в первый месяц и объяснить причину.
• Бесплатно. Плату мы вправе взять только за явно необоснованные или бесконечно повторяющиеся запросы (ст. 12(5) GDPR) — на практике мы этим не пользовались ни разу.
• Подтверждение личности. Если по письму невозможно понять, кто вы, мы попросим уточнить детали заказа. Это защита вас же: чтобы ваши данные не забрал посторонний.

12. Жалоба в надзорный орган

Если вы считаете, что мы обошлись с вашими данными неправильно, — сначала напишите нам, обычно вопрос решается за день. Но обращаться в надзорный орган вы вправе и без этого:

Вы также вправе обратиться в надзорный орган страны своего постоянного проживания в ЕС и в суд по месту нашего нахождения.

13. Обязательно ли давать данные

Заполнять формы вас никто не заставляет — можно просто позвонить. Но без имени, способа связи, даты и маршрута мы физически не сможем ни посчитать цену, ни забронировать номер, ни подать машину по адресу. Поля, помеченные звёздочкой, — тот минимум, без которого заказ не существует. Всё остальное вы даёте по желанию, и отказ ни на что не влияет.

14. Изменения этой политики

Мы пересматриваем текст минимум раз в год и каждый раз, когда меняем что-то в работе сайта: добавляем сервис, форму или новый способ связи. Регулятор считает нарушением ситуацию, когда политика описывает вчерашний сайт, — поэтому дата вверху страницы всегда настоящая, а не декоративная. О существенных изменениях мы сообщим на главной странице за 30 дней до их вступления в силу, а тем, кто дал согласие на рассылку, — ещё и в сообщении.