Политика конфиденциальности

Настоящая Политика описывает, как в сервисе GesWay обрабатываются персональные данные, и опубликована во исполнение статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Общие положения

1.1. Оператор персональных данных: Индивидуальный предприниматель Завгородний Марк Валерьевич, ОГРНИП 326910000055091, ИНН 910509959785, адрес: 296100, Республика Крым, г. Джанкой, ул. Розы Люксембург, д. 99.

1.2. Политика распространяется на обработку данных при использовании мобильного приложения GesWay и его серверной части.

1.3. Используя Сервис, Пользователь подтверждает, что ознакомлен с настоящей Политикой.

1.4. Работа без аккаунта. Приложение можно использовать без регистрации. В этом режиме Оператор не получает и не обрабатывает никаких персональных данных Пользователя: тренировки, шаблоны, упражнения, замеры веса и производные от них показатели хранятся исключительно в памяти устройства Пользователя и на серверы Оператора не передаются. Настоящая Политика применяется к такому использованию только в части, не связанной с обработкой персональных данных. Обработка начинается с момента регистрации или входа в аккаунт; если Пользователь при этом переносит сохранённые на устройстве записи в аккаунт, они обрабатываются на общих основаниях, предусмотренных Политикой.

2. Правовые основания обработки

Обработка персональных данных осуществляется на следующих основаниях:

• исполнение договора, стороной которого является Пользователь (Пользовательское соглашение), — основное основание для обработки данных, необходимых для работы Сервиса;
• исполнение обязанностей, возложенных на Оператора законодательством;
• согласие субъекта персональных данных — только для отдельных дополнительных функций, если такие будут введены; на дату настоящей редакции обработка на основании согласия не производится.

3. Какие данные обрабатываются

3.1. Учётные данные: адрес электронной почты и/или номер телефона, хэш пароля (сам пароль не хранится), имя пользователя (username), отображаемое имя.

3.2. Данные профиля (по желанию Пользователя): фотография профиля, дата рождения (год может быть указан отдельно от дня и месяца или не указан вовсе), краткие сведения о себе.

3.3. Данные входа через сторонние сервисы: идентификатор Пользователя у провайдера (VK ID, Яндекс, Apple, Telegram), а также подтверждённые провайдером контактные данные (если провайдер их передаёт). Служебный токен обновления Apple хранится в зашифрованном виде и используется для отзыва доступа при отвязке или удалении аккаунта.

3.4. Данные использования Сервиса: записи тренировок (дисциплина, упражнения, подходы, вес отягощения, повторения, даты) и производная статистика (объём, серии, рекорды). Если Пользователь указал их сам - масса тела с датой замера и рост, а также рассчитываемые из них индекс массы тела и оценка расхода энергии за тренировку.

Масса тела, рост и рассчитываемые из них показатели видны только самому Пользователю: они не отображаются в профиле, ленте и рейтинге и не передаются другим пользователям ни при каких настройках приватности.

Записи тренировок и производная статистика видны другим пользователям в объёме и на условиях, описанных в разделе 5.

3.5. Технические данные: идентификатор установки приложения, тип и название устройства и платформа (для списка активных сессий), IP-адрес и служебные журналы. IP-адрес и журналы используются транзитно для обеспечения безопасности и предотвращения злоупотреблений. Код страны, определяемый по IP-адресу, используется для соблюдения требований законодательства и не сохраняется.

3.6. Обращения в поддержку: текст обращения и переписки по нему, изображения, которые Пользователь приложил к обращению самостоятельно, а также технические сведения об устройстве (версия Приложения, платформа, версия операционной системы, модель устройства), прикладываемые к обращению автоматически. Перед отправкой Приложение показывает Пользователю полный перечень прикладываемых технических сведений; сведения о местоположении в него не входят и Приложением не передаются. Обращение, переписка по нему и приложенные изображения доступны самому Пользователю и уполномоченным работникам Оператора: они не публикуются и другим пользователям не видны. Приложенное изображение перекодируется на сервере Оператора, и сведения о съёмке, которые могло содержать исходное изображение, включая координаты места съёмки, при этом не сохраняются. Сроки хранения - п. 8.7.

3.7. Специальные категории персональных данных Сервисом не запрашиваются: Сервис не собирает сведения о диагнозах, состоянии здоровья и обращениях за медицинской помощью и не даёт медицинских рекомендаций. Записи тренировок представляют собой спортивные результаты, вносимые Пользователем добровольно. Масса тела и рост вносятся Пользователем добровольно как исходные данные для спортивных расчётов (индекс массы тела, оценка расхода энергии за тренировку) и обрабатываются только для этих целей. Пользователь может удалить любой замер и очистить рост в Приложении в любой момент; вместе с замерами исчезают и все рассчитанные из них показатели.

3.8. Данные об оплате подписки. При оформлении платной подписки (Пользовательское соглашение, раздел 10) Оператор хранит: способ оплаты (сайт либо магазин приложений), идентификатор подписки или покупки, присвоенный оператором эквайринга либо магазином приложений, её статус, период, дату окончания оплаченного периода и стоимость.

Реквизиты платёжного средства Оператору не передаются и им не хранятся. Номер карты, срок её действия и код проверки вводятся на стороне оператора эквайринга либо магазина приложений; Оператор получает только результат платежа и указанные выше сведения. Для направления чека используются контактные данные из п. 3.1.

4. Цели обработки

5. Видимость данных другим пользователям

5.1. Часть данных профиля может отображаться другим пользователям. Пользователь самостоятельно управляет видимостью каждого из них (тренировки и статистика, дата рождения, год рождения, сведения о себе, фотография) с помощью настроек приватности: «все», «друзья» или «никто», а также списков исключений. По умолчанию тренировки и статистика доступны только взаимным подписчикам («друзьям»).

5.2. Настройка «тренировки и статистика» управляет тем, что показано в профиле Пользователя: количество тренировок, суммарный объём по дисциплинам, календарь активности за последний год и недельная серия. Записи отдельных тренировок другим пользователям не показываются: они видят только сводные показатели, а также события в ленте своих подписок - о каждой тренировке в объёме, описанном в п. 5.3.

5.3. Лента активности доступна только тем, кто подписан на Пользователя. Событие содержит дисциплину, объём, число упражнений и подходов, длительность, дату и достигнутые рекорды. Сведения из п. 3.4 о массе тела, росте, индексе массы тела и расходе энергии в событие не входят.

5.4. Недельный рейтинг формируется отдельно от настройки п. 5.2: место, количество очков за неделю, никнейм и отображаемое имя показываются в общем рейтинге всем пользователям - независимо от этой настройки и независимо от того, закрыт ли Аккаунт. Место в рейтинге есть сравнение между участниками, и скрыть его у одного из них нельзя, не исказив результат остальных. Строка не показывается только заблокировавшему Пользователю и заблокированному им (п. 5.7), а также на время действия меры, ограничивающей публикацию (п. 5.9).

5.5. Закрытый аккаунт: подписка на него требует одобрения Пользователя; сводные показатели (п. 5.2), события ленты (п. 5.3), списки подписок и показанное в профиле место в недельном рейтинге доступны только одобренным подписчикам. На показ строки в общем недельном рейтинге закрытость Аккаунта не влияет (п. 5.4).

5.6. Оператор обрабатывает эти настройки, чтобы обеспечить показ данных только тем, кому Пользователь это разрешил.

5.7. Пользователь может заблокировать другого Пользователя. Оператор хранит для этого пару идентификаторов (кто заблокировал и кого) и дату; блокировка действует взаимно и не раскрывается заблокированному Пользователю. Запись хранится до снятия блокировки или до удаления одного из Аккаунтов.

5.8. При подаче жалобы Оператор сохраняет никнейм и идентификатор подавшего её Пользователя. Эти сведения доступны только Оператору и не раскрываются лицу, в отношении которого подана жалоба.

5.9. Применённая к Аккаунту мера и её причина отображаются самому Пользователю и не раскрываются другим Пользователям. Служебная заметка к мере доступна только Оператору.

6. Передача данных третьим лицам

6.1. Оператор привлекает третьих лиц для обработки данных по поручению в объёме, необходимом для работы Сервиса:

• отправка SMS-сообщений — ООО «АйДиджитал» (i-Digital), ОГРН 1137847488195, ИНН 7813577816, г. Санкт-Петербург, ул. Лодейнопольская, д. 5, литера А, офис 604;
• отправка электронной почты — ООО «Ю Софт Девелопмент» (RuSender), ОГРН 1156196001741, ИНН 6164013722, 344029, г. Ростов-на-Дону, ул. Алексея Береста, д. 6;
• защита от автоматизированных запросов (капча) — ООО «Яндекс.Облако», ОГРН 1187746678580, ИНН 7704458262, 119021, г. Москва, ул. Льва Толстого, д. 16, помещение 528;
• вход через сторонние сервисы (VK ID, Яндекс, Apple, Telegram) — задействуются только по выбору Пользователя;
• хостинг и хранение файлов (фотографии профиля, изображения, приложенные к обращениям в поддержку) — ООО «Таймвэб.Клауд», ОГРН 1227800052215, ИНН 7810945525, 196006, г. Санкт-Петербург, ул. Заставская, д. 22, корпус 2, литера А, помещение 303;
• автоматическая проверка загружаемых фотографий профиля на запрещённый контент — ООО «Яндекс.Облако», ОГРН 1187746678580, ИНН 7704458262, 119021, г. Москва, ул. Льва Толстого, д. 16, помещение 528. Передаётся только само изображение, уже приведённое к формату 640×640; идентификаторы Пользователя не передаются. Обработка выполняется на территории Российской Федерации. Проверка не выполняется, если Пользователь не загружает фотографию.
• приём платежей и формирование чеков при оплате на сайте — оператор эквайринга АО «ТБанк», ОГРН 1027739642281, ИНН 7710140679, 127287, г. Москва, ул. 2-я Хуторская, д. 38А, стр. 26, расположенный на территории Российской Федерации. Передаются сумма платежа и контактные данные Пользователя, необходимые для направления чека; реквизиты платёжного средства вводятся на стороне оператора эквайринга и Оператору не передаются (п. 3.8);
• приём платежей при оплате через магазин приложений — правообладатель соответствующего магазина, по его собственным правилам. Оператор получает от него идентификатор покупки и её статус.

Оба способа оплаты задействуются только по выбору Пользователя; при использовании Сервиса на бесплатных условиях данные не передаются ни одному из них.

6.2. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных маркетинговых целей.

6.3. Данные могут быть предоставлены уполномоченным органам в случаях, предусмотренных законом.

7. Трансграничная передача

7.1. Обработка и хранение персональных данных, включая их запись, систематизацию, накопление, уточнение и извлечение, осуществляются исключительно в центрах обработки данных, расположенных на территории Российской Федерации. Трансграничная передача персональных данных Оператором не осуществляется, за исключением случаев, прямо указанных в пп. 7.2 и 7.3, каждый из которых задействуется только по инициативе самого Пользователя.

7.2. Сервисы Apple и Telegram недоступны для авторизации на территории Российской Федерации и задействуются исключительно по инициативе Пользователя, находящегося вне территории, где такой вход ограничен.

7.3. Оплата подписки через магазин приложений совершается Пользователем в самом магазине и по его правилам; выбор этого способа оплаты - выбор Пользователя, у которого есть альтернатива в виде оплаты на сайте у российского оператора эквайринга (п. 6.1). Для подтверждения такой покупки Оператор обращается к сервису соответствующего магазина, передавая только идентификатор покупки: сведения о Пользователе, его тренировках и профиле при этом не передаются.

8. Сроки хранения

8.1. Персональные данные хранятся, пока существует Аккаунт Пользователя.

8.2. При удалении Аккаунта средствами Приложения связанные данные удаляются каскадно (профиль, записи тренировок, замеры массы тела, обращения в поддержку с приложенными к ним изображениями, связки со сторонними сервисами с отзывом соответствующих токенов, фотография). Отдельные записи в резервных копиях и служебных журналах хранятся не более 30 дней, после чего удаляются или обезличиваются.

8.3. Замеры массы тела и указанный рост хранятся до их удаления Пользователем и удаляются вместе с Аккаунтом.

8.4. Жалобы на Пользователя удаляются вместе с Аккаунтом этого Пользователя. При удалении Аккаунта подавшего жалобу его идентификатор обезличивается: остаётся только никнейм на момент подачи, чтобы рассмотренное обращение оставалось прослеживаемым.

8.5. Сведения о применённых к Аккаунту мерах хранятся, пока существует Аккаунт, и удаляются вместе с ним. Они сохраняются и после прекращения меры: это то, на что Оператор опирается при рассмотрении следующего нарушения и обращения об отмене решения.

8.6. Данные об оплате подписки (п. 3.8) хранятся в информационной системе Оператора, пока существует Аккаунт, и удаляются вместе с ним. Сведения о самих совершённых платежах хранятся оператором эквайринга и в информационных системах налогового органа в сроки, установленные законодательством о налогах и сборах; удаление Аккаунта на эти сроки не влияет.

8.7. Обращения в поддержку, переписка по ним и технические сведения об устройстве (п. 3.6) хранятся, пока существует Аккаунт их автора, и удаляются вместе с ним; приложенные изображения удаляются из хранилища файлов (п. 6.1) тогда же. Закрытое обращение до этого момента не удаляется: это собственная переписка Пользователя, и она остаётся доступной ему в Приложении.

9. Права субъекта персональных данных

9.1. Пользователь вправе получать информацию об обработке своих данных, требовать их уточнения, блокирования или удаления, а также отозвать согласие (там, где обработка основана на согласии), в порядке, предусмотренном статьями 14 и 20 Федерального закона № 152-ФЗ (ответ предоставляется в течение 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней).

9.2. Многие права реализуются непосредственно в Приложении: редактирование профиля, настройки приватности, удаление Аккаунта. Для иных обращений следует направить запрос на адрес: privacy@gesway.ru, откроется в новой вкладке.

10. Меры защиты

Оператор принимает правовые, организационные и технические меры для защиты данных, включая: шифрование канала связи (TLS), хранение паролей в виде стойких хэшей, шифрование секретов двухфакторной аутентификации и служебных токенов (AES-256-GCM), ограничение частоты запросов и защиту капчей, разграничение доступа к данным.

11. Файлы cookie и аналитика

На дату настоящей редакции Сервис не использует рекламные трекеры и стороннюю аналитику поведения. Технические идентификаторы применяются только для работы Сервиса и обеспечения безопасности.

12. Изменение Политики

12.1. Оператор вправе изменять настоящую Политику. Новая редакция публикуется в Сервисе с указанием даты вступления в силу.

12.2. По вопросам обработки персональных данных следует обращаться на адрес: privacy@gesway.ru, откроется в новой вкладке.