GDPR · Регламент (ЕС) 2016/679

Защита персональных данных

Здесь написано, какие ваши данные появляются у Czech Travel, зачем они нужны, сколько мы их держим и как стереть их одним письмом. Без юридического тумана. Если какой-то абзац непонятен — это наша недоработка: напишите, и мы перепишем его человеческим языком.

Версия 3.0 · действует с 5 августа 2026 года · заменяет версию от 27 июля 2026 года

1. Кто отвечает за ваши данные

Администратором (контролёром) персональных данных в смысле статьи 4 GDPR является:

Уполномоченного по защите данных (DPO) мы не назначали и по закону не обязаны. Статья 37 GDPR требует этого от органов власти и от компаний, чья основная деятельность — систематическое масштабное наблюдение за людьми или обработка особых категорий данных в крупном масштабе. Туристическая компания нашего размера под эти критерии не подпадает. Все запросы разбирает лично директор — Андрей Кульбидюк.

2. Что происходит с данными на самом сайте

Пункт, которого обычно нет у конкурентов, — а зря: главный вопрос не «что написано в политике», а «что сайт делает на самом деле». Вот полный список.

2.1. Формы заявок

На сайте четыре формы: заявка на консультацию на главной, конструктор трансфера, форма группового трансфера из Германии и форма отзыва. Ни одна из них не отправляет данные на сервер Czech Travel. Скрипт в вашем браузере собирает из полей готовый текст сообщения и открывает WhatsApp или Telegram — дальше вы решаете, отправлять его или закрыть окно. У нас нет ни базы заявок на сайте, ни формы с почтовой отправкой, ни скрытой пересылки на e-mail.

2.2. «Моя поездка»

Выбранные экскурсии, трансферы, даты, состав группы и промокод хранятся в localStorage вашего браузера под ключом ct_plan. Это память на вашем устройстве: она нужна, чтобы план не исчез при закрытии вкладки. К нам эти данные не поступают, пока вы сами не отправите план в мессенджер.

2.3. Раздел «Вопросы и ответы»

Обсуждения под вопросами работают на сервисе Cusdis (cusdis.com). Скрипт загружается только после того, как вы нажмёте «Обсудить и ответить», — на остальных страницах он не подключается вовсе. Если вы оставляете комментарий, к оператору сервиса попадают: указанное вами имя (можно псевдоним), адрес e-mail (поле необязательное — оставьте пустым, если не хотите получать уведомление об ответе), текст комментария и адрес страницы. Все комментарии проходят премодерацию: до одобрения их не видит никто, кроме нас.

2.4. Хостинг

Сайт размещён на инфраструктуре Vercel. Как любой веб-сервер, он фиксирует технические запросы: IP-адрес, время, адрес страницы, тип браузера. Это нужно для работы и защиты сайта от атак. Мы к этим журналам не обращаемся в маркетинговых целях и не связываем их с конкретными людьми.

2.5. Шрифты

Шрифты Fraunces и Satoshi подгружаются с серверов Google Fonts и Fontshare. Честно предупреждаем: при этом браузер обращается к их серверам, и им становится виден ваш IP-адрес. Формально это происходит до того, как вы что-либо нажали. Мы переносим файлы шрифтов на собственный сервер, чтобы это обращение исчезло совсем — до завершения переноса считайте этот абзац предупреждением, а не отговоркой.

2.6. Внешние ссылки

Кнопки WhatsApp, Telegram, Instagram, Facebook, ссылки на Google Maps и TripAdvisor уводят вас на чужие сайты. Оттуда вы попадаете под их политики и их cookie. Мы не встраиваем эти сервисы в страницу виджетами и iframe — именно чтобы они не следили за вами, пока вы просто читаете наш сайт.

2.7. Google Analytics 4

После вашего согласия сайт загружает Google Analytics 4 с идентификатором G-WNM71X7YT3. Оператор — Google Ireland Limited. GA4 получает технические сведения о браузере и устройстве, адрес просмотренной страницы и названия событий whatsapp_click, phone_click, telegram_click и generate_lead. Имя, телефон, маршрут, даты и текст сообщения в Google не передаются. Правовое основание — ваше согласие по ст. 6(1)(a) GDPR; отозвать его можно на странице cookie. Google может обрабатывать данные также за пределами ЕЭЗ на основании предусмотренных GDPR механизмов передачи.

3. Какие данные мы получаем

Ровно столько, сколько нужно, чтобы подготовить предложение и провезти вас по маршруту. Ни одного лишнего поля.

4. Зачем, на каком основании и как долго мы храним

Регулятор требует называть конкретный срок, а не отписку «столько, сколько потребуется». Ниже — конкретные сроки.

Если данные больше не нужны ни для одной из этих целей — мы удаляем их раньше срока. Если закон требует хранить дольше или идёт спор — храним дольше и объясняем почему.

5. Данные о здоровье и другие особые категории

Мы возим людей на курорты, и разговор о здоровье возникает сам собой. Поэтому проговорим отдельно.

• Мы не запрашиваем диагнозы, справки, выписки и назначения. В формах на сайте нет таких полей.
• Мы не передаём сведения о вашем здоровье никому, кроме того санатория или отеля, который вы сами выбрали, — и только в объёме, необходимом для брони.

• Если вы сами напишете, что вам нужен лифт, диета без глютена, кислородная терапия или курс по конкретному профилю, — мы обработаем это только с вашего явного согласия (ст. 9(2)(a) GDPR), которым считается сам факт того, что вы сообщили это добровольно ради своей поездки.
• Такие сведения мы держим до конца поездки и стираем в течение 30 дней после неё.

Практический совет. Не пересылайте сканы паспортов, страховок и медицинских документов через Telegram. Для этого есть info@czech-travel.cz — а лучше принесите оригинал в офис на Lázeňská 1. Причина в разделе 8.

6. Данные детей

Наши услуги мы предлагаем взрослым. Ребёнок не может забронировать поездку самостоятельно: договор заключает родитель или другой законный представитель, он же сообщает возраст ребёнка — это нужно для детской цены, кресла в машине и правил входа в некоторые объекты. Больше никаких сведений о детях мы не собираем и никогда не обращаемся к детям с рекламой. Если вы считаете, что мы получили данные ребёнка без вашего ведома, напишите — удалим немедленно.

7. Кому мы передаём данные

Регулятор прямо называет фразу «мы можем передавать данные партнёрам» нарушением прозрачности. Поэтому вот поимённый список.

В этом списке нет и не появится ни одной рекламной сети, ни одного брокера данных и ни одного «партнёра по маркетингу». Ваши данные видит только тот, кто участвует в вашей поездке или обязан их видеть по чешскому закону.

8. Передача за пределы Европейского союза

Внутри ЕС и ЕЭЗ GDPR действует напрямую, дополнительных условий не требуется. Часть сервисов работает шире:

• Vercel, Google, Meta. Передача в США опирается на решение Еврокомиссии об адекватности защиты (EU–U.S. Data Privacy Framework) и на стандартные договорные условия по статье 46 GDPR (решение Комиссии 2021/914).
• Telegram. Работает за пределами ЕС, и решения об адекватности для его юрисдикции нет. Мы отвечаем в Telegram, потому что клиентам так удобно, но именно поэтому просим не пересылать через него сканы документов и медицинские сведения. Для этого есть e-mail и офис.

Если вы хотите общаться только по каналам внутри ЕС — напишите на info@czech-travel.cz или позвоните. Мы никогда не потребуем мессенджер как единственный способ связи.

9. Как мы защищаем данные

• Сайт работает только по HTTPS — соединение шифруется.
• Доступ к переписке и заказам есть у сотрудников, которые непосредственно ведут вашу поездку, и ни у кого больше.
• На рабочих почтовых и мессенджер-аккаунтах включена двухфакторная аутентификация.
• Бумажные документы хранятся в закрытом шкафу в офисе, а не на столе у окна.
• С подрядчиками, которые обрабатывают данные по нашему поручению, заключены договоры об обработке по статье 28 GDPR.
• Если утечка всё же случится и она будет угрожать вашим правам, мы сообщим в надзорный орган в течение 72 часов и напишем вам напрямую — без попыток замолчать.

10. Автоматические решения и профилирование

Их нет. Мы не строим ваш профиль, не оцениваем вас алгоритмом, не меняем цену в зависимости от вашего устройства или истории просмотров и не принимаем решений о вас без участия человека. Каждую заявку читает менеджер.

11. Ваши права

Как воспользоваться

Напишите на info@czech-travel.cz с темой «GDPR» либо принесите заявление в офис на Lázeňská 1. Достаточно свободной формы — никаких бланков.

• Срок ответа — 30 дней. Если запрос сложный, закон разрешает продлить ещё на два месяца, но мы обязаны предупредить вас об этом в первый месяц и объяснить причину.
• Бесплатно. Плату мы вправе взять только за явно необоснованные или бесконечно повторяющиеся запросы (ст. 12(5) GDPR) — на практике мы этим не пользовались ни разу.
• Подтверждение личности. Если по письму невозможно понять, кто вы, мы попросим уточнить детали заказа. Это защита вас же: чтобы ваши данные не забрал посторонний.

12. Жалоба в надзорный орган

Если вы считаете, что мы обошлись с вашими данными неправильно, — сначала напишите нам, обычно вопрос решается за день. Но обращаться в надзорный орган вы вправе и без этого:

Вы также вправе обратиться в надзорный орган страны своего постоянного проживания в ЕС и в суд по месту нашего нахождения.

13. Обязательно ли давать данные

Заполнять формы вас никто не заставляет — можно просто позвонить. Но без имени, способа связи, даты и маршрута мы физически не сможем ни посчитать цену, ни забронировать номер, ни подать машину по адресу. Поля, помеченные звёздочкой, — тот минимум, без которого заказ не существует. Всё остальное вы даёте по желанию, и отказ ни на что не влияет.

14. Изменения этой политики

Мы пересматриваем текст минимум раз в год и каждый раз, когда меняем что-то в работе сайта: добавляем сервис, форму или новый способ связи. Регулятор считает нарушением ситуацию, когда политика описывает вчерашний сайт, — поэтому дата вверху страницы всегда настоящая, а не декоративная. О существенных изменениях мы сообщим на главной странице за 30 дней до их вступления в силу, а тем, кто дал согласие на рассылку, — ещё и в сообщении.