Дорогие WuBookers! Как вы знаете, одной из важнейших обязанностей отельера является защита личной информации гостей. На первый взгляд это может показаться очевидным, но на практике и с юридической точки зрения всё значительно сложнее. Давайте рассмотрим ключевые аспекты защиты персональных данных в гостиничном бизнесе и узнаем, как соответствовать нормативам GDPR с помощью современных технологий.

Общие сведения о GDPR

General Data Protection Regulation (GDPR) — это европейское постановление, определяющее, как компании могут использовать, хранить, защищать и передавать персональные данные.

По информации Европейской комиссии, действия GDPR распространяются на:

• любую компанию или организацию, обрабатывающую персональные данные в рамках деятельности своих представительств на территории ЕС, независимо от того, где именно происходит обработка данных;
• любую компанию за пределами ЕС, которая предлагает товары/услуги (платно или бесплатно) или отслеживает поведение людей, находящихся в ЕС.

Это означает, что даже отели, не расположенные в Европе, но обрабатывающие данные европейских гостей, должны соблюдать данное постановление. Среди требований GDPR есть, например, возможность для пользователей запрашивать удаление своих данных (право на забвение), а также обязанность отеля информировать гостей о случаях взлома или утечки базы данных (data breach).

В данной статье мы сфокусируемся на том, что касается конфиденциальности гостевых данных — а именно процедур сбора и использования персональных данных гостей с момента бронирования.

Какие данные может собирать и обрабатывать отель?

При бронировании и размещении в отеле гость предоставляет личную информацию — фамилию и имя (для идентификации), телефон или адрес электронной почты (для связи по поводу бронирования) и данные для оплаты. Эти данные необходимы для заключения договора на оказание гостиничных услуг.

Дополнительно могут собираться сведения о возрасте, поле или других характеристиках, которые помогают улучшать клиентский сервис и проводить маркетинговые кампании (рассылка акций и предложений).

Особые категории данных включают, например, сведения об этническом происхождении, политических и религиозных убеждениях, состоянии здоровья и т. д. Их сбор допускается только в случаях, когда это необходимо для обеспечения безопасности гостя. К примеру, важно знать об аллергии на продукты, чтобы организовать соответствующее питание.

Обработка данных в отеле

Под обработкой данных понимается любой вид операций с ними, включая сбор, хранение и передачу, как в цифровой, так и в бумажной форме.

Для обработки данных отельер обязан получить явное согласие гостя, представив ему соответствующий документ — политику конфиденциальности (privacy notice).

В этом документе должно быть четко и понятно описано, какие данные собираются, с какой целью, а также каким образом гость может изменить или удалить эти данные. Гость может ознакомиться и подписать документ как в бумажном виде (при заселении), так и в электронном (например, во время онлайн-чек-ина).

Принятие политики конфиденциальности обязательно для обработки данных в маркетинговых целях. Для основных данных, необходимых для оказания услуг, согласие может быть подразумеваемым, но для большей безопасности и прозрачности многие отели предпочитают получать явное согласие и на них.

Конфиденциальность и PMS для отелей: пример Zak

Как мы выяснили, некоторые данные являются важнейшими для оказания услуги и позволяют улучшать гостиничный сервис. Но при этом их необходимо собирать, соблюдая все требования GDPR (в противном случае штрафы могут достигать 20 миллионов евро или 4% от глобального оборота компании).

Zak, PMS для объектов размещения от WuBook, предлагает функционал для защиты данных, соответствующий европейской директиве GDPR.

Сбор согласия

Первая важная функция — это сбор согласия на обработку персональных данных. На странице бронирования (Booking Engine) Zak позволяет отельеру добавить ссылку на политику конфиденциальности, которую клиент видит и может принять перед оформлением бронирования.

Та же ссылка может размещаться в личном кабинете гостя (guest page), где он указывает или редактирует свои персональные данные и детали бронирования.

Как дополнительная мера, отельер может запросить цифровую подпись гостя во время онлайн-чек-ина (гость подписывает документ с помощью мыши или пальца на экране).

Хранение и удаление данных

Цифровизация сбора и хранения данных имеет множество преимуществ. Помимо сокращения бумажной волокиты, экономии времени и ресурсов, это еще и упрощает процедуру удаления данных.

В частности, Zak предлагает 3 уровня автоматической анонимизации, которые можно настроить и активировать спустя заданный срок (например, один год):

• Soft: удаляются все данные клиента, кроме имени, фамилии и страны.
• Medium: сохраняются только фамилия, страна и первая буква имени.
• Hard: вся информация полностью удаляется.

Защита и безопасность

Zak обеспечивает высокий уровень защиты от потенциальных утечек данных и несанкционированного доступа. Его инфраструктура имеет сертификат PCI-DSS (Payment Card Industry Data Security Standard), который гарантирует безопасность транзакций по банковским картам (через Payment Gateway). В случае с Zak этот стандарт распространен на весь серверный периметр, что защищает не только платежные транзакции, но и персональные данные гостей.

Ежедневные резервные копии и системы расширенного восстановления позволяют вернуть данные в течение 15 минут, даже если произойдет критический сбой. Кроме того, применяются меры против утечек данных, вредоносных программ и вирусов. Качество программного кода, постоянный мониторинг и надёжный облачный хостинг делают Zak одним из наиболее доступных и безопасных решений на рынке.

Подводя итоги, важно понимать, какие именно шаги нужно предпринять, чтобы соответствовать GDPR и обеспечить гостям защиту их конфиденциальности. Технологические инструменты, такие как Zak, могут оказать в этом большую помощь, если уделять должное внимание вопросам безопасности и юридическим тонкостям. Для локального рынка (например, в России) при работе с иностранными гостями стоит дополнительно учитывать требования местных законов, включая ФЗ «О персональных данных», чтобы комплексно соблюдать все правовые нормы.