ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1.1. Настоящая Политика в отношении обработки персональных данных (далее — "Политика") разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных" (далее — "Закон о персональных данных") и определяет позицию Оператора в области обработки и защиты персональных данных пользователей мобильного приложения и веб-платформы "FitToBeFree" (далее — "Сервис").

1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных при использовании ими Сервиса.

1.3. Обработка персональных данных осуществляется в соответствии с:

• Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных"
• Иными нормативными правовыми актами Российской Федерации в области персональных данных
• Законодательством Республики Казахстан о персональных данных и Общим регламентом по защите данных (GDPR) — в применимых случаях

1.4. Используя Сервис, субъект персональных данных подтверждает ознакомление с настоящей Политикой.

2.1. Оператором персональных данных является:

• ИП Григорович Марк Владимирович
• Email: markgrigorovich1@gmail.com
• Телефон: 8 926 188-64-19

Реквизиты в Российской Федерации:

• ИНН — 772086381810
• ОГРНИП — 326774600155640
• Адрес: 111396, г. Москва, р-н Новогиреево, Зелёный пр-кт, д. 74

Реквизиты в Республике Казахстан:

• БИН — 900315050484
• ИНН — 900315050484
• Юридический адрес: ул. Айманова, д. 194, кв. 444

2.2. По всем вопросам, связанным с обработкой персональных данных, субъект персональных данных может обратиться к Оператору по указанным выше контактам.

3.1. Правовыми основаниями обработки персональных данных являются:

• Согласие субъекта персональных данных на обработку его персональных данных (ст. 6, 9 Закона о персональных данных)
• Договор, стороной которого является субъект персональных данных (договор оказания услуг, заключаемый при использовании Сервиса)
• Федеральные законы и иные нормативные правовые акты, возлагающие на Оператора обязанности по обработке персональных данных
• Отдельное согласие — для обработки специальных категорий персональных данных (сведения о состоянии здоровья) и биометрии

4.1. Оператор обрабатывает персональные данные в следующих целях:

• Регистрация и идентификация пользователей Сервиса
• Предоставление персонализированных фитнес-услуг: составление программ тренировок, планов питания, расчет норм БЖУ
• Мониторинг прогресса пользователя и корректировка программ
• Обеспечение коммуникации между пользователем и персональным тренером
• Обработка платежей и ведение подписок
• Техническая поддержка пользователей
• Обеспечение безопасности Сервиса и предотвращение мошенничества
• Улучшение качества услуг и аналитика использования Сервиса

5.1. Категории субъектов персональных данных: пользователи Сервиса (клиенты) и персональные тренеры.

5.2. ЛИЧНЫЕ ДАННЫЕ

• ФИО, дата рождения, пол
• Адрес электронной почты, номер мобильного телефона
• Данные из социальных сетей (при OAuth авторизации)

5.3. ДАННЫЕ О ЗДОРОВЬЕ И ФИЗИЧЕСКОМ СОСТОЯНИИ (специальные категории — обрабатываются только с отдельного согласия)

• Рост, вес, процент жира, антропометрические измерения
• Фотографии тела для контроля прогресса
• Сведения о проблемах со здоровьем и противопоказаниях
• Уровень физической активности, опыт тренировок, фитнес-цели

5.4. ДАННЫЕ АКТИВНОСТИ И ТЕХНИЧЕСКИЕ ДАННЫЕ

• История тренировок, результаты упражнений, планы питания
• Переписка с персональным тренером
• IP-адрес, данные устройства, браузер, операционная система, логи использования
• Местоположение (только при предоставлении разрешения)

6.1. Обработка персональных данных включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

6.2. Обработка осуществляется с использованием средств автоматизации (в информационных системах Сервиса).

6.3. Сроки обработки и хранения:

• Данные активных пользователей — до удаления аккаунта
• Резервные копии — до 90 дней после удаления аккаунта
• Неактивные аккаунты — автоматическое удаление через 2 года неактивности с уведомлением за 30 дней
• Логи доступа — 12 месяцев
• Данные о транзакциях — 5 лет (требование законодательства)

6.4. По достижении целей обработки либо при отзыве согласия персональные данные уничтожаются или обезличиваются в срок, не превышающий 30 дней, если иной срок не установлен законом.

7.1. Оператор может поручать обработку или передавать персональные данные:

• Персональным тренерам — данные профиля клиента, результаты тренировок и замеров, сообщения в чате (только между клиентом и его тренером)
• Платежным системам — только данные, необходимые для проведения транзакций
• Поставщикам облачных услуг — при условии соблюдения конфиденциальности
• Сервисам аналитики — только обезличенные данные
• Государственным органам — при наличии законного запроса

7.2. Трансграничная передача персональных данных осуществляется с соблюдением требований статьи 12 Закона о персональных данных, в том числе с уведомлением уполномоченного органа в установленных законом случаях.

8.1. Субъект персональных данных имеет право:

• Получать сведения об обработке своих персональных данных (ст. 14 Закона о персональных данных)
• Требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки
• Отозвать согласие на обработку персональных данных в любой момент
• Возражать против обработки для целей продвижения товаров и услуг
• Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке

8.2. Для реализации своих прав субъект направляет запрос Оператору по адресу markgrigorovich1@gmail.com. Запрос рассматривается в течение 10 рабочих дней с момента обращения.

9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных (ст. 18.1, 19 Закона о персональных данных):

• Шифрование данных при передаче (TLS/SSL) и при хранении (AES-256)
• Использование HTTP-only cookies
• Ограничение и контроль доступа сотрудников к персональным данным
• Назначение лица, ответственного за организацию обработки персональных данных
• Мониторинг подозрительной активности, защита от атак, регулярное резервное копирование
• Внутренний контроль соответствия обработки требованиям законодательства

10.1. Настоящая Политика является общедоступным документом и подлежит опубликованию в Сервисе.

10.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента ее размещения в Сервисе. Дата последнего обновления указывается в верхней части документа.

10.3. Вопросы, не урегулированные настоящей Политикой, решаются в соответствии с применимым законодательством. Настоящая Политика применяется наряду с Политикой конфиденциальности и Условиями использования Сервиса.