Политика конфиденциальности

1. Кто мы и что охватывает настоящая политика

Физическое лицо-предприниматель Карнаух Ирина Александровна, зарегистрированная в Едином государственном реестре юридических лиц, физических лиц-предпринимателей и общественных формирований Украины, регистрационный номер учётной карточки налогоплательщика 3029410706 («IK Pilates», «мы», «нас» или «наш»), осуществляет деятельность студий IK Pilates в Харькове и платформы, через которую производится бронирование.

Мы являемся владельцем базы персональных данных по смыслу статьи 2 Закона Украины «О защите персональных данных» № 2297-VI от 1 июня 2010 года («Закон») в отношении всей обработки, описанной в настоящей политике. Наши контактные данные приведены в разделе 13.

Настоящая политика применяется к персональным данным, которые мы обрабатываем, когда вы посещаете ikpilates.com, создаёте учётную запись на платформе IK Pilates, пользуетесь нашими приложениями для iOS или Android, посещаете занятия или индивидуальные тренировки в наших харьковских студиях, записываетесь в лист ожидания, связываетесь с нами или иным образом взаимодействуете с нами как клиент, потенциальный клиент или инструктор.

Наша деятельность в Болгарии ведётся отдельным юридическим лицом, «ИК Пилатес Студио» ЕООД, которое выступает самостоятельным контролёром данных, собираемых в Болгарии, в соответствии с Регламентом (ЕС) 2016/679. Если вы находитесь в Европейском экономическом пространстве или являетесь клиентом нашей софийской студии, к вам применяется болгарская версия настоящей политики, обеспечивающая защиту согласно этому Регламенту.

2. Правовая основа

Мы обрабатываем персональные данные в соответствии со статьёй 32 Конституции Украины, Законом Украины «О защите персональных данных» № 2297-VI, Законом Украины «Об информации» № 2657-XII, Законом Украины «Об электронной коммерции» № 675-VIII, Законом Украины «Об электронных коммуникациях» № 1089-IX, а также Типовым порядком обработки персональных данных, утверждённым Уполномоченным Верховной Рады Украины по правам человека.

Украина является стороной Конвенции Совета Европы № 108 о защите лиц в связи с автоматизированной обработкой персональных данных. Проект Закона № 8153 «О защите персональных данных», который призван привести украинское законодательство в соответствие с Общим регламентом о защите данных и создать независимый орган по защите данных, прошёл первое чтение в Верховной Раде 20 ноября 2024 года и готовится ко второму чтению. Мы следим за его продвижением и обновим настоящую политику после его принятия.

3. Категории обрабатываемых персональных данных

Мы собираем только те данные, которые необходимы для работы студии пилатеса и поддерживающей её платформы. Мы не покупаем персональных данных и не создаём рекламных профилей.

Идентификационные и контактные данные. Имя, фамилия, отображаемое имя, адрес электронной почты, номер телефона в международном формате, предпочитаемые язык и страна, а также внутренний идентификатор, который мы вам присваиваем.

Данные учётной записи и аутентификации. Учётные данные пароля, хранимые в хешированном виде нашим поставщиком услуг аутентификации, токены аутентификации, перечень активных сессий и устройств, связанных с вашей учётной записью, тип устройства, версия приложения, приблизительное местоположение, выведенное из IP-адреса на уровне страны, а также дата и время каждого входа.

Данные о бронированиях и посещаемости. Занятия и индивидуальные тренировки, которые вы бронируете, соответствующие студия, зал и инструктор, статус бронирования, включая отмены, переносы, позицию в листе ожидания и неявки, приглашения, которые вы отправляете или получаете, и история ваших занятий.

Данные вводного процесса и предпочтения. Ваши тренировочные цели, уровень опыта, предпочитаемое время занятий, предпочитаемые каналы связи, источник, из которого вы о нас узнали, предпочтения по единицам измерения и настройки уведомлений.

Данные о состоянии здоровья. Если вы решите их предоставить: беременность, травмы, медицинские состояния и физические ограничения, значимые для безопасной практики. В наших мобильных приложениях и только если вы предоставите разрешение отдельно по каждой категории: частота сердечных сокращений, вариабельность сердечного ритма, сон, вес, восстановление, шаги, активная энергия, минуты осознанности и записи о тренировках, считываемые из Apple Health или Google Health Connect. Согласно статье 7 Закона данные о состоянии здоровья относятся к особым категориям персональных данных, обработка которых запрещена, кроме оснований, указанных в этой статье, и подпадают под дополнительные гарантии, описанные в разделе 5.

Платёжные и расчётные данные. Назначение и сумма полученных банковских переводов, реквизиты для выставления счёта, если он запрошен, и запись о платежах, совершённых в студии. Мы не осуществляем онлайн-платежей картой и не получаем и не храним номеров карт.

Коммуникационные данные. Сообщения, направляемые нам через контактную форму, по электронной почте, телефону или через мессенджер, транзакционные письма, которые мы вам отправляем, и статус их доставки, настройки push-уведомлений и журналы доставки, а также любая переписка по жалобам.

Технические данные и данные безопасности. IP-адрес, хранимый в хешированном виде с использованием секретного ключа, пользовательский агент, записи событий безопасности и аудита, результаты проверок против злоупотреблений и диагностика ошибок.

Данные об использовании сайта. Обобщённое измерение просмотров страниц без файлов cookie, как описано в нашей Политике использования файлов cookie.

4. Цели и основания обработки

Статья 11 Закона определяет основания, на которых могут обрабатываться персональные данные. Мы опираемся на следующие из них.

Согласие субъекта персональных данных. Обработка данных о состоянии здоровья, направление маркетинговых сообщений, отправка push-уведомлений, считывание данных из Apple Health или Google Health Connect и хранение на вашем устройстве информации, не являющейся строго необходимой. Согласие является конкретным и детализированным, фиксируется и может быть отозвано в любой момент согласно статье 8 Закона без ущерба для правомерности обработки, осуществлённой до отзыва.

Заключение и исполнение сделки, стороной которой является субъект персональных данных. Создание и администрирование вашей учётной записи, приём и подтверждение бронирований, ведение листов ожидания, переносов и отмен, проведение занятий и индивидуальных тренировок, выставление счетов и обработка платежей, а также поддержка клиентов.

Разрешение на обработку, предоставленное владельцу базы согласно закону. Ведение бухгалтерского и налогового учёта в соответствии с Налоговым кодексом Украины и Законом Украины «О бухгалтерском учёте и финансовой отчётности в Украине», ответы на законные запросы компетентных органов и рассмотрение обращений и жалоб согласно статье 8 Закона.

Защита законных интересов владельца базы или третьих лиц. Защита нашей платформы от несанкционированного доступа, мошенничества и злоупотреблений, ведение журналов аудита, предотвращение систематических неявок, обобщённое измерение производительности сайта, совершенствование наших услуг, а также установление или защита правовых требований. Такая обработка осуществляется только при условии, что права и свободы субъекта персональных данных не нарушаются.

Защита жизненно важных интересов субъекта персональных данных. При неотложном медицинском случае в студии — раскрытие значимой информации о состоянии здоровья службам экстренной помощи.

5. Данные о состоянии здоровья и дополнительные гарантии

Данные о здоровье никогда не требуются для просмотра нашего сайта или наличия учётной записи. Вы можете полноценно пользоваться платформой, не предоставляя никакой информации о здоровье; при отказе от функции, связанной со здоровьем, соответствующий экран просто показывает пустое состояние.

Если вы всё же предоставляете данные о здоровье, мы обрабатываем их на основании вашего однозначного согласия по смыслу статьи 7 Закона и применяем следующие гарантии.

Чувствительные поля, включая сведения о беременности и записи о травмах, шифруются при хранении на уровне столбца с использованием симметричного PGP-шифрования с ключом, выводимым отдельно для каждого клиента, так что компрометация одного значения не раскрывает данных других клиентов.

Согласие фиксируется по категориям и проверяется на сервере, поэтому отзыв согласия по одной категории никогда не затрагивает другую.

Данные о здоровье используются исключительно для обеспечения безопасности вашей практики и для функций, которые вы запросили. Они никогда не используются в рекламных целях, не продаются, не передаются третьим лицам для их собственных целей и не применяются для отслеживания между приложениями или сайтами.

Только те инструкторы и сотрудники студии, которым это необходимо для наблюдения за вашим занятием, могут видеть предоставленную вами информацию о здоровье, и только в объёме, ограниченном необходимым для безопасного проведения занятия. Все такие лица связаны письменными обязательствами о неразглашении в соответствии со статьёй 10 Закона.

При прекращении ваших отношений со студией в качестве клиента зашифрованные поля со сведениями о здоровье ставятся в очередь на удаление и автоматически обнуляются по истечении льготного периода в тридцать дней с внесением аудиторской записи об удалении.

6. Получатели и третьи лица

Мы не продаём персональных данных. Мы передаём их только следующим категориям получателей.

Наши инструкторы и сотрудники студии — на условиях письменных обязательств о конфиденциальности и по принципу служебной необходимости.

Поставщики услуг, которые обрабатывают данные от нашего имени и по нашим указаниям на основании письменных договоров, требующих конфиденциальности и надлежащей безопасности. На дату настоящей политики это:

Supabase — аутентификация, база данных и сервисы реального времени, хостинг в регионе Европейского союза Railway — хостинг приложения для наших серверных интерфейсов Vercel — хостинг и обобщённая аналитика без файлов cookie для нашего сайта Resend — доставка транзакционной электронной почты Google (Firebase Cloud Messaging) — доставка push-уведомлений Google (Sheets API) — импорт только для чтения унаследованных расписаний студии Cloudflare — защита нашей контактной формы от автоматизированных злоупотреблений Apple — доставка push-уведомлений на устройства iOS

Наш бухгалтер и, при необходимости, юридический советник — при соблюдении профессиональной тайны.

Государственные органы и суды, когда раскрытие требуется законом или необходимо для установления или защиты правового требования. Согласно статье 14 Закона распространение персональных данных третьим лицам допускается только с согласия субъекта персональных данных или на основаниях, определённых законом, и каждое такое распространение фиксируется.

7. Трансграничная передача персональных данных

Статья 29 Закона допускает передачу персональных данных иностранным субъектам при условии обеспечения соответствующим государством надлежащей защиты персональных данных. Государства — члены Европейского экономического пространства и государства, являющиеся сторонами Конвенции № 108, считаются по закону обеспечивающими надлежащую защиту.

Наши основные хранилища данных расположены в Европейском союзе. Ограниченный круг поставщиков, прежде всего обеспечивающих доставку push-уведомлений и электронной почты, может обрабатывать ограниченный объём данных за пределами Европейского экономического пространства. В таких случаях мы опираемся на гарантии передачи, предлагаемые поставщиком, включая Стандартные договорные условия Европейской комиссии, вместе с шифрованием при передаче и хранении и минимизацией объёма передаваемых данных.

Содержимое push-уведомлений ограничивается информацией, необходимой для отображения уведомления, и не содержит данных о здоровье.

8. Автоматизированная обработка

Мы не принимаем в отношении вас решений, основанных исключительно на автоматизированной обработке и порождающих для вас правовые последствия.

Некоторые функции автоматически упорядочивают или фильтруют информацию, например позицию в листе ожидания по времени обращения или предложение свободных слотов. Эти операции не оценивают ваших личных характеристик и не порождают правовых последствий.

9. Сроки хранения

Мы храним персональные данные только столько времени, сколько необходимо для целей, ради которых они были собраны, после чего удаляем их или необратимо обезличиваем.

Данные учётной записи и профиля — в течение срока существования учётной записи, затем удаляются при её удалении с учётом правила о надгробной записи ниже Записи о бронированиях и посещаемости — 3 года с конца года, в котором была оказана услуга, что соответствует общей исковой давности по Гражданскому кодексу Украины Первичные бухгалтерские документы и налоговая отчётность — в течение сроков, установленных Налоговым кодексом Украины и правилами Государственной архивной службы Данные о состоянии здоровья — в течение срока клиентских отношений, затем обнуляются через 30 дней после их прекращения Переписка по контактной форме и обращениям — 2 года с последнего обмена Журналы доставки уведомлений — 1 год Записи безопасности и аудита — 2 года Записи об отозванных сессиях — 90 дней Запись о согласии на хранение информации на вашем устройстве — 12 месяцев Неактивные учётные записи — отмечаются после 24 месяцев без активности и подлежат удалению после уведомления

Когда вы запрашиваете удаление учётной записи, мы помещаем её в тридцатидневный льготный период, в течение которого вы можете отменить запрос. По его истечении все сугубо личные записи удаляются. Записи, которые мы обязаны хранить, например бронирования и бухгалтерские проводки, сохраняются без идентифицирующих данных: запись о вашей личности сводится к надгробной записи без персональных данных, что обезличивает каждую оставшуюся запись, которая на неё ссылается.

10. Ваши права

Статья 8 Закона предоставляет вам следующие права в отношении ваших персональных данных.

Знать об источниках сбора, местонахождении своих персональных данных, цели их обработки, местонахождении или месте проживания владельца либо распорядителя персональных данных.

Получать информацию об условиях предоставления доступа к персональным данным, в частности информацию о третьих лицах, которым передаются ваши персональные данные.

На доступ к своим персональным данным.

Получать не позднее чем за тридцать календарных дней со дня поступления запроса ответ о том, обрабатываются ли ваши персональные данные, а также получать содержание таких данных.

Предъявлять мотивированное требование владельцу персональных данных с возражением против обработки своих персональных данных.

Предъявлять мотивированное требование об изменении или уничтожении своих персональных данных любым владельцем и распорядителем, если эти данные обрабатываются незаконно либо являются недостоверными.

На защиту своих персональных данных от незаконной обработки и случайной утраты, уничтожения, повреждения в связи с умышленным сокрытием, непредоставлением или несвоевременным их предоставлением, а также на защиту от предоставления сведений, являющихся недостоверными или порочащих честь, достоинство и деловую репутацию.

Обращаться с жалобами на обработку своих персональных данных к Уполномоченному Верховной Рады Украины по правам человека или в суд.

Применять средства правовой защиты в случае нарушения законодательства о защите персональных данных.

Вносить оговорки относительно ограничения права на обработку своих персональных данных при предоставлении согласия.

Отозвать согласие на обработку персональных данных.

Знать механизм автоматической обработки персональных данных.

На защиту от автоматизированного решения, имеющего для вас правовые последствия.

11. Как реализовать ваши права

Большинство прав реализуются непосредственно в вашей учётной записи. Профиль и предпочтения можно просматривать и изменять в любое время; активные сессии и устройства можно просматривать и отзывать по отдельности; согласия на уведомления и на обработку данных о здоровье можно предоставлять или отзывать по категориям; а удаление учётной записи вместе с копией ваших данных можно запросить в настройках учётной записи.

Также вы можете направить запрос по адресу, указанному в разделе 13. В запросе следует указать ваше имя, контактные данные, описание права, которое вы желаете реализовать, и, при необходимости, соответствующие данные. Мы ответим в течение тридцати календарных дней со дня получения, как этого требует статья 16 Закона.

При отказе в удовлетворении запроса полностью или частично мы укажем причину и правовое основание и сообщим вам о праве обратиться с жалобой к Уполномоченному Верховной Рады Украины по правам человека или в суд.

12. Безопасность

Мы применяем организационные и технические меры, предусмотренные статьёй 24 Закона и соразмерные риску. К ним относятся шифрование всех данных при передаче с использованием TLS, шифрование при хранении на уровне столбца для чувствительных полей о здоровье, выведение ключей отдельно для каждого клиента, безопасность на уровне строк в нашей базе данных, асимметричная подпись токенов аутентификации с коротким сроком действия, список отзыва сессий, хеширование IP-адресов с секретным ключом, контроль доступа по ролям на принципе наименьших привилегий, журналирование привилегированных операций, политика безопасности содержимого на наших веб-ресурсах и письменные обязательства о неразглашении от каждого лица, имеющего доступ к персональным данным.

Если нам станет известно о незаконном доступе к персональным данным либо об инциденте, влияющем на их безопасность, мы оцениваем инцидент, принимаем меры локализации, фиксируем его и информируем соответствующих субъектов персональных данных и Уполномоченного Верховной Рады Украины по правам человека, если инцидент может повлиять на права субъектов персональных данных.

13. Контактные данные

Физическое лицо-предприниматель Карнаух Ирина Александровна РНУКПН: 3029410706 Зарегистрированный адрес: пер. Отакара Яроша, 12а, Харьков, 61045, Украина Студии: пер. Отакара Яроша, 12а и пер. Отакара Яроша, 22б, Харьков, 61045, Украина Электронная почта: studio@ikpilates.com Вопросы защиты данных: privacy@ikpilates.com Телефон: +380 67 508 4343 Веб-сайт: ikpilates.com

Лицо, ответственное за организацию работы, связанной с защитой персональных данных, по смыслу статьи 24 Закона, определяется внутренним приказом. Обращения по вопросам персональных данных можно направлять на privacy@ikpilates.com, и они будут переданы этому лицу.

14. Контролирующий орган

Контроль за соблюдением законодательства о защите персональных данных в Украине осуществляет Уполномоченный Верховной Рады Украины по правам человека.

Уполномоченный Верховной Рады Украины по правам человека Адрес: ул. Институтская, 21/8, Киев, 01008, Украина Горячая линия: 0 800 50 17 20 Электронная почта: hotline@ombudsman.gov.ua Веб-сайт: www.ombudsman.gov.ua

Вы также можете обратиться в суд за защитой своих прав.

15. Дети

Наши услуги адресованы совершеннолетним. Если занятия посещает несовершеннолетний, учётная запись должна быть создана и управляться родителем или опекуном, который принимает наши Условия использования и предоставляет информацию о здоровье от его имени. Согласие на обработку персональных данных несовершеннолетнего даётся родителями или опекуном в соответствии с Гражданским кодексом Украины.

Если мы узнаем, что собрали данные в отношении несовершеннолетнего без необходимого разрешения, мы безотлагательно их удалим.

16. Изменения настоящей политики

Мы пересматриваем настоящую политику не реже одного раза в год, всякий раз, когда наша обработка существенно изменяется, а также при принятии нового украинского законодательства о защите данных.

Если изменение существенно затрагивает ваши права, мы уведомим зарегистрированных пользователей по электронной почте или через уведомление в приложении не менее чем за четырнадцать дней до его вступления в силу. Номер версии и дата вступления в силу в начале документа определяют применимый текст. Предыдущие версии сохраняются и предоставляются по запросу.