Политика обработки персональных данных Vialta

Оператор персональных данных: Лавров Ярослав, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (НПД), ИНН 781458891350, адрес для направления обращений: г. Санкт-Петербург, 26-я линия В.О., д. 7, телефон: +7 996 765-54-12, электронная почта: jyarikslav@mail.ru. 1. Общие положения и область действия 1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет принципы, цели, правовые основания, порядок и условия обработки персональных данных Оператором при эксплуатации мобильного приложения Vialta. Политика применяется к пользователям, находящимся на территории Российской Федерации. Vialta предназначена исключительно для лиц, достигших возраста 18 лет. 1.2. Оператор осуществляет обработку на законной и справедливой основе, ограничивает её достижением конкретных, заранее определённых и законных целей, не допускает объединения баз данных с несовместимыми целями и обеспечивает соответствие состава данных заявленным целям. 1.3. Оператор целенаправленно не обрабатывает специальные категории и биометрические персональные данные. Показатели тела, фотографии и видео не используются для установления личности и сами по себе не признаются биометрическими данными в рамках заявленных целей. В свободных полях запрещено сообщать сведения о здоровье, диагнозах, лечении, травмах, инвалидности и иные специальные категории данных. 2. Состав, субъекты, цели и основания Субъект и цель Данные Основание Профиль и доступ Имя, фамилия, email, внутренний ID, роль, необязательный аватар, даты создания/изменения, блокировка, статусы аккаунта и подписки, ознакомительный период, приостановка и удаление Договор/соглашение; согласие Связь с тренером Текущий тренер, код подключения тренера, дата и статус связи, причина архивирования Исполнение договора/соглашения Тренировочный процесс Сезоны, цели, описания, даты, статусы и итоги; тренировки, упражнения, подходы, повторы, рабочий вес, длительность, даты и время, переносы, отмены, история статусов, комментарии и проверки Исполнение договора; действия пользователя и тренера Прогресс и проверки Вес тела, процент жира, мышечная масса, измерения частей тела, фото прогресса, видео упражнения, факт загрузки, результат проверки, комментарий тренера, посещения и статистика Согласие; исполнение договора Оплата и учёт Сумма, дата, статус платежа, номер и идентификатор операции, способ оплаты, электронная почта плательщика, за кого произведена оплата, данные чека Договор; законные обязанности НПД Push и диагностика Токен устройства, платформа и технические сведения доставки; сессии, время загрузки экранов, JS-ошибки, нативные сбои, версия приложения/ОС и технические идентификаторы SDK Согласие; законный интерес безопасности и устойчивости Поддержка и безопасность Текст обращения, ответ администратора, дата и статус; журналы, IP-адрес и сведения устройства при наличии Договор; законный интерес безопасности; согласие при необходимости 3. Перечень операций и способы обработки 3.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление лицам по поручению, блокирование, удаление и уничтожение с использованием средств автоматизации, а при обработке обращений — также без них. 4. Условия предоставления данных и привлечение обработчиков 4.1. В рамках обработки персональных данных доступ к ним получают следующие лица и организации: • закреплённый тренер получает доступ к профилю, тренировочному процессу, показателям прогресса, фото и требуемому для проверки видео в необходимом объёме; • российский хостинг-провайдер: ООО «Бегет» (Beget), Россия, г. Санкт-Петербург; production-бэкенд: IP 45.11.92.151, AS198610; • разработчик/технический администратор: Лавров Ярослав; • ООО «Яндекс» — сервис AppMetrica в ограниченном диагностическом режиме; • поставщик Expo Push Service (Expo, США), Apple Inc. через APNs и Google LLC через FCM — доставка push-уведомлений; • сервис приёма платежей: ООО «РОБОКАССА» (ИНН 5047063929, ОГРН 1055009302215, Россия, г. Москва) — приём оплаты банковскими картами и через СБП на сайте https://vialtaa.ru, формирование и направление чеков; сервису передаются номер платежа, сумма и электронная почта плательщика, данные банковской карты Оператору не передаются; • почтовый сервис: ООО «ВК» (сервис «Почта Mail»); • государственные органы — только при наличии законного основания. 4.2. Предоставление данных третьим лицам допускается при наличии согласия субъекта, для исполнения договора, стороной которого является субъект, на основании требования закона либо в иных случаях, прямо предусмотренных законодательством Российской Федерации. 4.3. Поручение обработки определяет перечень персональных данных, операции, цели, обязанность соблюдать конфиденциальность, требования к безопасности, подтверждению принятых мер, уведомлению об инцидентах и прекращению обработки. Оператор сохраняет ответственность перед субъектом за действия лица, обрабатывающего данные по поручению, в предусмотренных законом пределах. 5. Локализация и трансграничная передача 5.1. При сборе данных граждан Российской Федерации первичная запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются в российской базе на инфраструктуре Beget: Россия, г. Санкт-Петербург, production-бэкенд IP 45.11.92.151, AS198610. 5.2. Для push-уведомлений токен устройства и нейтральное техническое содержание уведомления могут передаваться поставщику Expo Push Service и далее Apple Inc. (APNs) либо Google LLC (FCM), в том числе в США. До начала такой передачи Оператор выполняет требования статьи 12 Закона № 152-ФЗ, включая отдельное уведомление Роскомнадзора, и обеспечивает применимое правовое основание. Отключение push не прекращает доступ к Vialta. 5.3. В push-уведомления не включаются показатели тела, содержание тренировок, фото, видео, комментарии и иные частные сведения. AppMetrica настроена на сессии, время загрузки экранов, JavaScript-ошибки и нативные сбои; геолокация, рекламные идентификаторы, покупки и рекламная аналитика отключены. 6. Сроки хранения и удаление Категория Срок/критерий Аккаунт и тренировочная история До удаления аккаунта или достижения цели обработки; после удаления идентифицирующие сведения удаляются либо обезличиваются, а законно сохраняемые данные блокируются. Аватар и фотографии прогресса До замены пользователем, удаления соответствующего материала или аккаунта. Видео проверки До принятия или отклонения проверки тренером, затем удаляется из файлового хранилища не позднее 24 часов после принятия или отклонения проверки. Факт загрузки, решение и комментарий могут сохраняться в истории. Push-токен До отключения push, признания токена недействительным, выхода с устройства либо удаления аккаунта. Диагностические данные AppMetrica В пределах настроенного Оператором срока хранения, который до запуска подлежит фиксации: 12 месяцев. Платежи и чеки В течение срока, установленного налоговым и бухгалтерским законодательством. Обращения и претензии До завершения рассмотрения и далее в пределах сроков исковой давности. Журналы безопасности До 12 месяцев, если более длительный срок не требуется для расследования инцидента. Резервные копии По фактическому циклу Beget, который необходимо подтвердить для VPS Vialta: в среднем около 10 дней. После восстановления удалённые сведения повторно очищаются. 7. Права субъекта • получить сведения об обработке и копию своих данных; • потребовать уточнения, блокирования или удаления незаконно или избыточно обработанных данных; • отозвать согласие, не затрагивая обработку на иных законных основаниях; • возражать против обработки и обжаловать действия Оператора в Роскомнадзор или судебные органы; • удалить аккаунт через интерфейс или обращение на электронную почту: jyarikslav@mail.ru. 8. Меры по обеспечению безопасности 8.1. Применяются разграничение прав доступа, уникальные учётные записи, защита каналов связи, ведение журналов, обновление компонентов, контроль подрядчиков, реагирование на инциденты, удаление медиа по событиям и регулярная проверка достаточности мер. Наличие, периодичность и восстановление резервных копий конкретного VPS подтверждаются в панели Beget до запуска. 8.2. При удалении аккаунта вход блокируется, email заменяется техническим обезличенным значением, способы входа отключаются, имя, фамилия и аватар удаляются или заменяются, подписка аннулируется, связь с тренером прекращается, активные сезоны останавливаются, а аватар, фото прогресса и видео удаляются из файлового хранилища. Клиенты удалившегося тренера сохраняют аккаунты и могут подключиться к другому тренеру; прежняя история новому тренеру по умолчанию не раскрывается без отдельного действия клиента. 9. Порядок рассмотрения обращений 9.1. Запрос должен содержать сведения, позволяющие идентифицировать заявителя и его взаимоотношения с Оператором, а также сущность требования. Оператор вправе запросить дополнительные сведения в объёме, необходимом для предотвращения раскрытия данных неуполномоченному лицу. 9.2. Оператор рассматривает обращения и предоставляет мотивированный ответ в сроки, установленные законодательством Российской Федерации. Актуальная редакция Политики размещается по адресу: https://vialtaa.ru/privacy. 10. Заключительные положения 10.1. Настоящая Политика действует бессрочно до замены новой редакцией. Изменения применяются с даты размещения, если иной срок не указан в новой редакции. Оператор обеспечивает неограниченный доступ к Политике до начала сбора персональных данных.