Політика конфіденційності

Глобальна політика обробки персональних даних. Основна правова база — GDPR (ЄС/ЄЕЗ) із регіональними положеннями для інших ринків.

1. Про компанію та сферу застосування

CharterNavi є комерційним брендом, під яким NORINOHI Sp. z o.o. (далі — «Компанія», «CharterNavi», «ми») здійснює міжнародну діяльність із посередництва в оренді яхт, катамаранів, моторних суден та інших плавзасобів. Вебсайт: https://www.charternavi.com.

Ця Політика описує обробку персональних даних відвідувачів вебсайту, осіб, які надсилають запити й оформлюють бронювання, платників, шкіперів, пасажирів і членів екіпажу, контактних осіб партнерів та користувачів наших каналів підтримки і комунікацій.

NORINOHI Sp. z o.o. виступає контролером даних у випадках, коли визначає мету та істотні засоби обробки. Якщо конкретна операція виконується нами від імені іншого контролера або спільно з ним, юридичні ролі визначаються фактичними відносинами та відповідними домовленостями. Окремі чартерні оператори, платіжні установи та інші партнери можуть бути незалежними контролерами.

Основою є Регламент (ЄС) 2016/679 (GDPR), оскільки Компанія зареєстрована в Польщі. Якщо до конкретної діяльності застосовуються закони інших держав, діють також відповідні місцеві вимоги, описані в розділі 19. Не всі регіональні закони автоматично застосовуються лише тому, що користувач може відкрити наш сайт із відповідної країни.

2. Характер діяльності CharterNavi: агент і посередник

CharterNavi діє як незалежний яхтовий брокер / агент-посередник між клієнтом і власником судна, чартерною компанією або оператором (далі — «Оператор»). Ми допомагаємо підібрати пропозицію, передаємо запити, організуємо бронювання та комунікацію, приймаємо платежі у межах агентських повноважень, оформлюємо належні документи та адмініструємо повернення коштів відповідно до застосовних умов.

Безпосереднє надання яхти та виконання чартерного договору здійснює Оператор, якщо в конкретному договорі не визначено інакше. Для організації такого договору може бути необхідним обмін персональними даними клієнта й членів екіпажу між NORINOHI та Оператором. Взаємовідносини щодо чартеру визначаються окремими умовами бронювання і договором Оператора; ця Політика регулює саме обробку даних.

3. Які персональні дані ми можемо обробляти

Ми не вимагаємо спеціальних категорій даних за статтею 9 GDPR як загальної умови бронювання. Якщо для конкретного запиту (наприклад, допомога пасажиру з обмеженою мобільністю) потрібні відомості про здоров’я або інші особливі дані, визначаємо окрему підставу, мінімізуємо їх обсяг та застосовуємо спеціальні гарантії. Повний номер платіжної картки та CVV можуть оброблятися безпосередньо платіжним провайдером; ми не стверджуємо, що зберігаємо чи не зберігаємо такі реквізити без перевірки конкретної інтеграції.

4. Звідки отримуємо інформацію

• Безпосередньо від особи — через сайт, форму запиту, бронювання, email, телефон, месенджери, оплату або підтримку.
• Від організатора бронювання — коли він вводить відомості інших членів екіпажу або пасажирів.
• Від Оператора, постачальника бронювальної технології або інших партнерів — для підтвердження бронювання, зміни дат, складу екіпажу, платежів або претензій.
• Від банків, платіжних та антифрод-провайдерів — підтвердження транзакцій і перевірка операцій.
• Через технічні журнали, cookies, аналітику та рекламу — лише в межах належних правових підстав і налаштувань користувача.

5. Мета і правові підстави обробки (GDPR)

Для осіб, обробка даних яких підпадає під GDPR, правова підстава визначається для кожної конкретної операції. Нижче наведена принципова матриця; вона підлягає звірці з реальною схемою бронювання та процесами Компанії.

Коли ми спираємося на законний інтерес, проводимо оцінку співвідношення потреб Компанії та прав особи. Відкликання згоди не впливає на законність обробки до відкликання та не скасовує обробку, яка ґрунтується на іншій належній правовій підставі.

6. Які дані обов’язкові та що буде за їх відсутності

Контактні дані, інформація для підготовки пропозиції та певні відомості про екіпаж можуть бути необхідні для обробки запиту або здійснення бронювання. Частина паспортних даних і документів може бути необхідна відповідно до умов Оператора, портових, прикордонних чи інших застосовних вимог. Якщо потрібні відомості не надано, ми або Оператор можемо не мати змоги оформити чи виконати конкретне бронювання.

Надання даних для необов’язкової реклами, рекламної персоналізації та більшості аналітичних трекерів не є умовою доступу до основних функцій сайту.

7. Персональні дані всіх членів екіпажу та паспортні документи

Організатор бронювання може надавати дані інших осіб. Ми просимо його повідомити учасників про передавання інформації й надати їм посилання на цю Політику, але це не замінює обов’язків NORINOHI за статтею 14 GDPR щодо осіб, дані яких отримано непрямо.

Якщо застосовується стаття 14 GDPR, повідомлення таким особам надається у розумний строк, але не пізніше одного місяця після отримання даних; якщо дані використовуються для першого контакту — не пізніше першої комунікації; якщо їх планують передати іншому одержувачу — не пізніше першого розкриття, за винятком передбачених законом ситуацій. Якщо контактів членів екіпажу немає, оцінюємо законні способи інформування, документуючи обраний підхід.

Реквізити та копії паспортів збираємо лише тоді, коли для конкретного чартеру підтверджена їхня необхідність. Дані можуть передаватися Оператору, а у передбачених законом випадках — уповноваженим портовим, прикордонним або іншим органам. Доступ до таких документів надається лише уповноваженим особам; вони не передаються рекламним мережам і не використовуються для поведінкового профілювання. Строк зберігання паспортних копій визначається окремо і не прирівнюється автоматично до строку зберігання бухгалтерських документів.

8. Кому передаємо персональні дані

• Операторам і власникам суден, флот-менеджерам, агентам у місці чартеру та їхнім уповноваженим особам — тільки для відповідного бронювання.
• Платформам бронювання (зокрема Booking Manager та Nausys) — якщо через відповідну інтеграцію справді проходять персональні дані, а не лише дані про наявність суден.
• Банкам, провайдерам платежів, еквайрингу, антифроду та повернень — у межах операції.
• Постачальникам хостингу, CRM, хмарних сховищ, email, SMS, месенджерів, технічної підтримки та кібербезпеки.
• Аналітичним та рекламним сервісам — лише для фактично активних інструментів із виконанням вимог згоди, відмови та регіонального законодавства.
• Бухгалтерам, аудиторам, юридичним радникам, страховикам та державним органам — за наявності відповідної підстави.

З постачальниками, які діють як обробники персональних даних (processors), укладаються належні договори за статтею 28 GDPR. Незалежні контролери самостійно відповідають за власні операції обробки. За необхідності ми уточнюємо конкретного одержувача, його правову роль та правила захисту даних.

9. Платежі, рахунки, перевірки та повернення

NORINOHI може отримувати від клієнта оплату як уповноважений агент Оператора і вести пов’язану документацію. Для прийняття та повернення коштів обробляються ідентифікаційні, контактні, платіжні та бухгалтерські дані, включно зі статусом операції та даними про рахунок. Банк або платіжна система можуть діяти як самостійні контролери або обробники — залежно від функції.

Для попередження шахрайства платіжні провайдери можуть проводити перевірки в межах власних законних обов’язків. Умови чартеру, повернення коштів і відповідальності сторін визначаються також General Terms & Conditions CharterNavi та документами конкретного Оператора. Ця Політика сама по собі не змінює договірних або податкових ролей сторін.

10. Cookies, аналітика, реклама та маркетинг

Сайт може використовувати строго необхідні технології (сесія, захист, збереження вибору користувача), функціональні cookies, аналітичні інструменти, рекламні пікселі, інструменти атрибуції та персоналізації. Прикладами платформ, які можуть використовуватися залежно від фактично підключених сервісів, є Google, Meta, TikTok, Microsoft та провайдери CRM/email-маркетингу. Наведення назви платформи не означає підтвердження її поточного використання.

Для користувачів із ЄС/ЄЕЗ та інших юрисдикцій із вимогою попередньої згоди необов’язкові технології доступу до пристрою або відстеження повинні бути відключені до отримання належної згоди. Передбачаємо зрозумілий вибір «Прийняти», «Відхилити» та налаштування категорій, а також можливість змінити рішення в будь-який час через посилання «Cookie» внизу сайту.

Актуальна Cookie Policy / таблиця cookies повинна окремо описувати реально встановлені інструменти, назви cookies або SDK/пікселів, провайдерів, цілі, строки дії й інформацію про трансграничну передачу. Згода на cookies не підмінює правової підстави для будь-якої іншої операції обробки.

Ми можемо надсилати комерційні повідомлення лише за умови дотримання застосовних правил електронного маркетингу (зокрема місцевих вимог щодо згоди, «soft opt-in» там, де дозволено, та можливості відписатися). Клієнт може відмовитися від маркетингових повідомлень; сервісні повідомлення, потрібні для бронювання, можуть продовжувати надходити на іншій належній підставі.

11. Міжнародні передачі персональних даних

Оскільки чартери проводяться по всьому світу, певні дані можуть передаватися Операторам та постачальникам технологій за межі Європейської економічної зони (ЄЕЗ) — зокрема до країни перебування яхти, до юрисдикції Оператора або до країни хостингу сервісу. Конкретні країни залежать від бронювання та фактичної інфраструктури.

Якщо застосовується глава V GDPR, ми використовуємо відповідний механізм: рішення Європейської Комісії про належний рівень захисту (adequacy), належні гарантії, зокрема стандартні договірні положення (SCC) з необхідною оцінкою ризиків і додатковими заходами, або інший законний механізм. Винятки статті 49 GDPR застосовуються лише за їхніми умовами та не розглядаються як звичайна універсальна підстава для систематичних міжнародних передач.

Якщо інша юрисдикція встановлює власні правила міжнародного розкриття даних, оцінюємо їх додатково. За запитом надаємо належну інформацію про застосовні гарантії та, коли це передбачено законом, можливість ознайомитися з їх копією з урахуванням законних обмежень.

12. Строки зберігання та видалення

Ми зберігаємо інформацію лише протягом періоду, обґрунтованого призначенням обробки, законними обов’язками або захистом прав. Якщо неможливо назвати універсальний строк, застосовуються наведені нижче критерії. Для фактичного запуску процесів NORINOHI веде внутрішній реєстр строків для кожної системи.

Після закінчення відповідного періоду дані видаляються, надійно знеособлюються або, якщо є окрема законна підстава, переводяться в обмежений архів. Запити на видалення розглядаються з урахуванням передбачених законом винятків.

13. Захист інформації та реагування на порушення

Ми впроваджуємо відповідні ризику технічні й організаційні заходи, такі як розмежування прав доступу, захищені канали передавання, захист облікових записів, резервне копіювання, журналювання доступу, політики роботи з паспортними копіями та перевірки постачальників. Перелік конкретних заходів у публічній політиці не повинен перебільшувати реально впроваджений захист.

У разі порушення безпеки персональних даних оцінюємо його наслідки. Якщо застосовується GDPR та встановлені передумови, повідомляємо компетентний наглядовий орган без невиправданої затримки і, коли це можливо, не пізніше 72 годин після того, як нам стало відомо про порушення; осіб повідомляємо, якщо виникає високий ризик для їхніх прав і свобод. Інші застосовні національні строки також враховуються.

14. Права осіб за GDPR (ЄС/ЄЕЗ)

Якщо обробка підпадає під GDPR, особа може за умов, установлених законом: отримати інформацію та доступ до своїх даних; виправити їх; вимагати видалення чи обмеження обробки; отримати переносимість у належних випадках; заперечувати проти обробки на підставі законного інтересу; у будь-який момент заперечити проти використання даних для прямого маркетингу; відкликати згоду; реалізувати права щодо визначених законом виключно автоматизованих рішень.

Запит можна направити за адресою в розділі 22. Зазвичай відповідь надається протягом одного місяця; строк може бути продовжений на законних підставах із відповідним повідомленням. Для захисту даних можемо запитати пропорційне підтвердження особи. Права не є абсолютними: зокрема, обов’язкові бухгалтерські документи не завжди можна негайно видалити.

Скаргу можна подати до Prezesa Urzędu Ochrony Danych Osobowych (UODO, https://uodo.gov.pl/) або іншого компетентного органу захисту даних у ЄЕЗ. Цей засіб захисту не обмежує передбачені законом судові права.

15. Діти, неповнолітні та бронювання групи

Сервіс бронювання призначений для повнолітніх організаторів. Однак яхтовий чартер може включати неповнолітніх пасажирів. Ми обробляємо їхні дані лише в обсязі, необхідному для організації конкретного чартеру та виконання застосовних вимог, із належним урахуванням прав батьків або законних представників. Сервіс не призначений для адресного маркетингу дітям. Паспортні документи дітей не використовуються для рекламного профілювання.

Коли застосовується спеціальне законодавство щодо онлайн-послуг для дітей (зокрема в окремих юрисдикціях США), оцінюємо його застосовність і впроваджуємо передбачені ним додаткові заходи.

16. Автоматизоване ухвалення рішень і профілювання

Аналітичні й рекламні системи можуть допомагати аналізувати аудиторії та релевантність пропозицій за відповідної правової підстави. Така маркетингова сегментація сама по собі не означає, що NORINOHI приймає виключно автоматизовані рішення, які породжують юридичні або аналогічно суттєві наслідки для особи. Якщо подібний процес буде впроваджено, ми попередньо оцінюємо його законність та надаємо інформацію про логіку і гарантії в обсязі, передбаченому застосовним правом.

17. Зовнішні ресурси і партнери

Наш сайт може посилатися на ресурси операторів, банків, постачальників бронювальних систем, соціальних мереж або інших незалежних організацій. Їхня власна обробка даних може регулюватися окремими повідомленнями про конфіденційність. Ми рекомендуємо переглядати політику конкретного партнера, особливо перед передачею документів і здійсненням платежу. Наявність зовнішнього посилання не робить такий ресурс обробником NORINOHI.

18. Права на маркетингову відмову та запити з інших країн

Особи незалежно від громадянства можуть звернутися до NORINOHI із запитаннями щодо обробки даних. Якщо місцевий закон, який застосовується до конкретної обробки, надає додаткові права (наприклад, відмова від таргетованої реклами чи «продажу/поширення» даних у спеціальному значенні закону), ми забезпечуємо такі права відповідно до цього закону. Наша добровільна відповідь на запит не означає автоматичного визнання застосовності кожного національного законодавства.

19. Додаткові регіональні положення

19.1. Польща та Європейська економічна зона

До діяльності NORINOHI в ЄС застосовується GDPR, польські нормативні акти щодо персональних даних та положення про зберігання інформації / доступ до кінцевого обладнання у межах ePrivacy і польського права електронних комунікацій. При конфлікті положень цієї Політики з обов’язковими нормами переважають такі норми.

19.2. Велика Британія

Якщо UK GDPR, Data Protection Act 2018 та застосовні положення про електронні комунікації й їх зміни поширюються на конкретну діяльність, ми надаємо відповідні повідомлення, права на доступ, виправлення, видалення та інші передбачені законом гарантії. У належних випадках також оцінюємо необхідність призначення представника у Великій Британії та місцеві механізми міжнародної передачі. Скарги можуть подаватися до UK Information Commissioner’s Office (ICO, https://ico.org.uk/).

19.3. Швейцарія

Якщо до обробки застосовується Федеральний закон Швейцарії про захист даних (FADP), враховуємо вимоги прозорості, інформування, прав на доступ/виправлення й інших передбачених законом гарантій, а також обмеження міжнародного передавання. За необхідності оцінюємо вимоги щодо представника у Швейцарії.

19.4. Сполучені Штати Америки

У США не існує одного загального федерального закону, еквівалентного GDPR для всіх випадків. Залежно від виду діяльності, кількості користувачів, обороту та інших критеріїв до NORINOHI можуть застосовуватися CCPA/CPRA у Каліфорнії або закони інших штатів. Тому нижченаведені права діють саме за умови застосовності відповідного закону.

Якщо CCPA/CPRA поширюється на Компанію, мешканці Каліфорнії можуть мати передбачені законом права знати категорії зібраної інформації, отримувати доступ, виправляти й видаляти дані, отримувати доступні відомості про їх передавання, відмовлятися від «sale» чи «sharing» у спеціальному юридичному значенні, обмежувати визначене використання чутливої інформації та не зазнавати незаконного дискримінаційного ставлення за реалізацію прав.

«Sale» і «sharing» можуть включати передачу ідентифікаторів рекламним партнерам без прямої грошової винагороди. Потрібно окремо перевірити, чи становлять фактично встановлені рекламні інтеграції такі операції. Якщо закон вимагає, ми реалізуємо механізм «Do Not Sell or Share My Personal Information» і належним чином обробляємо відповідні сигнали відмови, зокрема Global Privacy Control. Підстав для категоричного твердження, що NORINOHI «ніколи не продає/не поширює» інформацію, без технічного аудиту немає.

Інші застосовні закони штатів можуть передбачати відмову від таргетованої реклами, продажу інформації або певного профілювання, а також оскарження відмови у задоволенні запиту. Інформація про такі механізми надаватиметься через реальні канали запитів і налаштування приватності. Якщо закон вимагає спеціальне Notice at Collection, перелік категорій і періодів за останні 12 місяців, цю інформацію слід надати у відповідній формі на етапі збору даних.

19.5. Україна

Коли застосовується Закон України «Про захист персональних даних» № 2297-VI, особи мають визначені законом права щодо доступу, інформації про обробку, заперечення, зміни та знищення даних у належних випадках, оскарження порушень і захисту своїх прав. Якщо дані отримано безпосередньо від особи, необхідне повідомлення надається при їх зборі; в інших випадках — протягом 30 робочих днів від збору, крім законних винятків. Передавання за кордон оцінюється відповідно до статті 29 цього Закону та інших застосовних актів.

19.6. Канада

Якщо PIPEDA або застосовні закони провінцій поширюються на відповідні операції, ми дотримуємося правил прозорості, визначення цілей, належної згоди, обмеження збирання та зберігання, доступу, виправлення, захисту та відповідальності за обробку постачальниками. Для канадських отримувачів маркетингових повідомлень окремо оцінюємо вимоги до електронних комерційних повідомлень, зокрема CASL.

19.7. Бразилія

У разі застосовності бразильського Lei Geral de Proteção de Dados (LGPD) та актів Autoridade Nacional de Proteção de Dados (ANPD) особа може реалізовувати передбачені законом права на інформацію, підтвердження обробки, доступ, виправлення, видалення / блокування у відповідних випадках та отримання відомостей про спільне використання даних. Транскордонні передачі здійснюються з урахуванням передбачених LGPD механізмів і вимог ANPD. Може знадобитися окремий мовний або місцевий канал повідомлення.

19.8. Австралія та Нова Зеландія

Якщо Privacy Act 1988 та Australian Privacy Principles застосовуються до діяльності NORINOHI, забезпечуємо актуальну відкриту політику, права доступу/виправлення, процедуру скарг, повідомлення про можливі передачі закордонним одержувачам та відповідні гарантії. Якщо застосовується Privacy Act 2020 Нової Зеландії, враховуємо принципи обробки даних та правила розкриття закордонним одержувачам (зокрема Principle 12).

19.9. Інші юрисдикції

Якщо до відповідної діяльності застосовуються спеціальні норми інших держав, зокрема Японії, Сінгапуру, Південно-Африканської Республіки, ОАЕ або інших країн, Компанія оцінює місцеві обов’язки, у тому числі повідомлення, призначення контактної особи чи представника, підстави обробки, правила маркетингу, міжнародні передачі та права осіб. Цей розділ не є декларацією, що кожен перелічений закон безумовно поширюється на NORINOHI.

20. Зміни до цієї Політики

Ми переглядаємо Політику у зв’язку зі змінами законодавства, діяльності, технологій або постачальників. Актуальна редакція з датою оновлення публікується на сайті. Якщо нова мета обробки або зміна правової підстави вимагає повідомлення чи нової згоди, забезпечуємо відповідну дію до початку такої обробки.

21. Як подати запит чи скаргу

Щоб отримати інформацію, реалізувати право на доступ, виправлення, видалення, обмеження, заперечення, відкликання згоди або звернутися щодо маркетингової відмови, надішліть звернення на office@norinohi.com або поштою на адресу NORINOHI, наведену нижче. Не надсилайте непотрібні копії паспортів незахищеними каналами. Для перевірки права доступу ми можемо попросити додаткові відомості в мінімально необхідному обсязі.

Якщо вимагається регіональним законодавством, заявник може скористатися іншими спеціально передбаченими механізмами звернення або подати скаргу до компетентного органу. Процедура розгляду звернень залежить від застосовного права й характеру запиту.

22. Контактні та реєстраційні дані