Політика конфіденційності

1.1. Для роботи uastay.com, особистого кабінету, маркетингу STAY, antifraud, підтримки, аналітики й виконання юридичних обов'язків STAY є володільцем персональних даних/контролером.

1.2. Для заселення, проживання, обліку гостей, виконання спеціальних побажань, безпеки та власного сервісу відповідний Готель є окремим володільцем/контролером. Реквізити Готелю надаються на сторінці пропозиції, у checkout та Ваучері.

1.3. Під час використання модуля STAY на сайті Готелю розподіл ролей залежить від мети: дані бронювання можуть оброблятися двома окремими контролерами; STAY може бути обробником/розпорядником Готелю для окремих технічних операцій.

1.4. Банки, Еквайри, платіжні системи та фіскальні сервіси обробляють дані за власними правовими обов'язками й політиками. STAY не контролює повні реквізити картки на hosted payment page.

• ідентифікаційні: ПІБ, дата народження/вік дитини, громадянство або документ — лише якщо необхідно;
• контактні: телефон, e-mail, месенджер, адреса;
• дані бронювання: готель, дати, номер, гості, харчування, побажання, промокод, лояльність;
• платіжні: сума, валюта, маскований номер/токен, банк, статус, transaction ID, 3DS, refund/chargeback; повні карткові дані отримує Еквайр;
• технічні: IP, device/browser, cookies, session ID, logs, source/UTM, language, approximate location;
• комунікації: звернення, дзвінки за наявності повідомлення про запис, листування, відгуки;
• корпоративні дані: компанія, ЄДРПОУ, посада, реквізити для рахунку/відрядження;
• дані безпеки: ризикові ознаки, невдалі платежі, fraud signals, санкційні/KYC дані — в обсязі, необхідному законом або Еквайром.

• обраному Готелю та його PMS/channel manager;
• банкам, Еквайрам, платіжним системам, antifraud і фіскальним провайдерам;
• хостингу, хмарі, CRM, call center, email/SMS/messenger, аналітиці та технічній підтримці;
• партнерам, через яких Користувач отримав пропозицію, у мінімальному обсязі для attribution і винагороди;
• державним органам, судам і регуляторам за законною вимогою.

4.1. STAY не продає персональні дані як самостійний товар. Передача здійснюється для визначених цілей, на підставі договору, закону, згоди або іншої належної підстави.

5.1. Окремі постачальники хмарних, платіжних, комунікаційних або аналітичних сервісів можуть перебувати за межами України. STAY застосовує договірні, організаційні та технічні гарантії, а для осіб, на яких поширюється GDPR, — механізми, передбачені GDPR, включаючи стандартні договірні положення, де необхідно.

• знати джерела, місцезнаходження, мету, склад і одержувачів даних;
• отримати доступ і копію, виправити неточності;
• відкликати згоду, якщо обробка базується на згоді;
• вимагати видалення/обмеження, якщо це не суперечить обов'язковому зберіганню;
• заперечити проти маркетингу та, де застосовується, обробки на законному інтересі;
• подати скаргу Уповноваженому Верховної Ради України з прав людини або компетентному органу ЄЕЗ, якщо GDPR застосовується.

7.1. Запити подаються на privacy@uastay.com. STAY може перевірити особу заявника. Запит щодо даних Готелю може бути переадресований відповідному Готелю.

8.1. Користувач може змінити вибір у «Налаштуваннях cookies». Відмова від non-essential cookies не блокує базове бронювання, але може зменшити персоналізацію.

• шифрування TLS, контроль доступу, MFA для адміністративних облікових записів;
• псевдонімізація/токенізація платіжних ідентифікаторів;
• розподіл ролей, журналювання, резервне копіювання та управління вразливостями;
• PCI DSS scope minimization: hosted payment page і заборона зберігання CVV/повних реквізитів;
• договірні вимоги до підрядників і реагування на інциденти.

9.1. Жодна система не гарантує абсолютної безпеки. У разі інциденту STAY вживає заходів для локалізації, оцінки ризику, повідомлення партнерів, осіб і органів у випадках, передбачених законом.

10.1. Бронювання оформлює повнолітня дієздатна особа. Дані дітей обробляються лише для розміщення, визначення ціни та виконання вимог Готелю. Не слід передавати медичні чи інші чутливі дані, якщо це не необхідно для спеціального запиту і не надано належну підставу.

11.1. STAY і Готель не повинні автоматично обмінюватися маркетинговими згодами. Кожен контролер самостійно доводить законність власної розсилки. Відмовитися можна через посилання у повідомленні або звернення.

12.1. Політика може оновлюватися. Істотні зміни повідомляються на сайті та, за можливості, безпосередньо. Дата редакції зазначається на початку.