1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей сайта https://gymai.ru, мобильного приложения и иных сервисов GymAI.

Политика разработана в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» и применяется ко всем персональным данным, которые получает Оператор при использовании GymAI.

2. Оператор персональных данных

Индивидуальный предприниматель Леньков Артемий Сергеевич

ИНН: 245717063445

ОГРНИП: 326470400092125

Адрес: 188688, Ленинградская область, Всеволожский район, г. Колтуши, ул. Верхняя, д. 11, кв. 151

Электронная почта по вопросам персональных данных: info@gymai.ru

3. Категории субъектов

Оператор может обрабатывать данные:

• зарегистрированных пользователей GymAI;
• посетителей сайта;
• законных представителей несовершеннолетних пользователей;
• лиц, обращающихся в поддержку или направляющих претензии;
• плательщиков, если оплату выполняет законный представитель или другое лицо.

4. Какие данные обрабатываются

В зависимости от используемых функций Оператор может обрабатывать следующие категории данных:

• данные аккаунта: идентификатор пользователя, имя, email, дата рождения, изображение профиля и сведения о способе авторизации;
• данные тренировок: программы, упражнения, подходы, повторения, рабочие веса, длительность, результаты и история тренировок;
• данные прогресса и питания: измерения тела, цели, фотографии прогресса, рацион и записи о питании;
• сведения о здоровье: травмы, хронические заболевания, противопоказания, ограничения и проблемные зоны;
• платёжные данные: тариф, срок подписки, сумма, валюта, статус, идентификаторы заказа и операции у платёжного провайдера;
• технические данные: IP-адрес, тип устройства, операционная система, версия приложения, идентификаторы сессии, push-токен, cookies и диагностические сведения;
• обращения в поддержку, отзывы и иная информация, которую пользователь добровольно сообщает Оператору;
• сведения о полученных согласиях: версия документа, дата, время, способ и технический контекст подтверждения.

Оператор не получает и не хранит полные реквизиты банковской карты, CVC/CVV-код и платёжный пароль.

5. Цели обработки

Персональные данные обрабатываются для:

• регистрации, авторизации и защиты аккаунта;
• предоставления тренировочных, аналитических, статистических и персонализированных функций;
• ведения истории тренировок, прогресса и питания;
• оформления, подтверждения и учёта покупок и подписок;
• подключения и отключения автоматического продления;
• направления обязательных сервисных сообщений, уведомлений безопасности и ответов поддержки;
• предупреждения мошенничества, устранения ошибок и обеспечения информационной безопасности;
• исполнения требований законодательства, налогового, бухгалтерского и кассового учёта;
• улучшения GymAI на основании обезличенной или минимизированной аналитики.

6. Правовые основания

Оператор обрабатывает данные на основании:

• согласия субъекта персональных данных;
• заключения и исполнения Пользовательского соглашения и договора о предоставлении платных функций;
• обязанностей, возложенных на Оператора законодательством;
• иных оснований, предусмотренных законодательством Российской Федерации.

Если обработка основана на согласии, пользователь может отозвать его. Отзыв не влияет на законность обработки, выполненной до его получения, и не прекращает обработку, для которой существует другое законное основание.

7. Данные о здоровье

Сведения о состоянии здоровья относятся к специальной категории персональных данных.

GymAI обрабатывает такие сведения только после получения отдельного, конкретного и информированного согласия пользователя либо его законного представителя в случаях, предусмотренных законом.

Отказ от согласия не препятствует использованию функций, которым сведения о здоровье не требуются, но может ограничить соответствующую персонализацию рекомендаций.

8. Несовершеннолетние пользователи

GymAI предназначен для пользователей с 14 лет. Для пользователя от 14 до 17 лет Оператор может запросить согласие и подтверждение полномочий родителя, усыновителя или попечителя.

Законный представитель может обратиться к Оператору для подтверждения, уточнения, ограничения или прекращения обработки данных несовершеннолетнего.

9. Операции с персональными данными

Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу уполномоченным обработчикам, обезличивание, блокирование, удаление и уничтожение персональных данных с использованием средств автоматизации или без них.

10. Хранение в Российской Федерации

При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение выполняются с использованием основных баз данных, расположенных на территории Российской Федерации.

Основные данные аккаунта, тренировок и подписки хранятся в контролируемой Оператором серверной инфраструктуре GymAI на территории Российской Федерации.

11. Обработчики и получатели данных

В пределах, необходимых для работы конкретной функции, данные могут передаваться:

• сервису Яндекс ID — при выбранной пользователем авторизации через Яндекс;
• Т-Банку — при оплате на сайте и управлении разрешением на повторные списания;
• Apple и Google — при авторизации, покупке через магазин приложений, доставке уведомлений и работе мобильной инфраструктуры;
• Firebase — для push-уведомлений, диагностики сбоев и аналитики, когда соответствующая функция включена;
• поставщику AI-модели — только при обращении пользователя к AI-функции и после минимизации передаваемого контекста;
• провайдерам хостинга, электронной почты и технической поддержки, действующим по поручению Оператора;
• государственным органам — только при наличии законного основания и надлежащего запроса.

Оператор не продаёт персональные данные и не предоставляет их неопределённому кругу лиц без отдельного согласия.

12. Трансграничная передача

Использование Apple, Google, Firebase или поставщиков AI-моделей может предполагать передачу ограниченного состава данных в иностранные государства.

Такая передача выполняется только для запрошенной пользователем функции, после первичной записи данных в Российской Федерации, с соблюдением требований законодательства и предусмотренной процедуры уведомления уполномоченного органа.

Перед передачей Оператор минимизирует состав данных и по возможности исключает прямые идентификаторы, такие как имя и email пользователя.

13. Cookies и аналитика

Сайт может использовать обязательные cookies для авторизации, безопасности, сохранения настроек и работы платёжного возврата.

Необязательная аналитика и иные необязательные технологии активируются в соответствии с выбором пользователя в настройках конфиденциальности.

14. Сроки хранения

• аккаунт, профиль, тренировки, прогресс и питание — пока существует аккаунт и данные необходимы для предоставления GymAI;
• данные о здоровье — до отзыва отдельного согласия, удаления пользователем или прекращения цели обработки;
• доказательства согласий и юридически значимых действий — минимизированные псевдонимизированные записи могут храниться отдельно в течение необходимого срока защиты прав сторон;
• документы платёжного, налогового и бухгалтерского учёта — не менее срока, установленного законодательством;
• журналы безопасности — как правило, не более 12 месяцев, если больший срок не требуется для расследования инцидента;
• резервные копии удалённых данных — до 90 дней в пределах установленного цикла резервного копирования.

При удалении аккаунта учётная запись, профиль, тренировки, питание, прогресс и другие пользовательские данные Сервиса удаляются безвозвратно. Отдельно могут сохраняться минимальные псевдонимизированные записи, необходимые для подтверждения ранее предоставленных согласий и иных юридически значимых действий, а также записи, хранение которых требуется законодательством, включая платёжный, налоговый и бухгалтерский учёт или защиту прав сторон.

После удаления аккаунта такие записи не содержат email, идентификатор пользователя или удалённого аккаунта, IP-адрес, данные устройства либо профиль пользователя и не сохраняют прямую связь с удалённой учётной записью.

После достижения цели или получения законного требования данные удаляются, уничтожаются либо обезличиваются, если их дальнейшее хранение не требуется по закону.

15. Защита персональных данных

Оператор применяет правовые, организационные и технические меры защиты, включая разграничение доступа, аутентификацию, шифрование защищаемых секретов, резервное копирование, журналирование событий безопасности, обновление программного обеспечения и контроль действий уполномоченных лиц.

Полные реквизиты карт не проходят через инфраструктуру GymAI. Секрет повторного списания хранится в зашифрованном виде и уничтожается при отключении автоматического продления.

16. Права пользователя

Пользователь или его представитель вправе:

• получить сведения об обработке своих данных;
• потребовать уточнения неточных или неполных данных;
• потребовать блокирования или удаления данных при наличии предусмотренных законом оснований;
• отозвать ранее предоставленное согласие;
• обжаловать действия Оператора в Роскомнадзоре или суде;
• осуществлять иные права, предусмотренные законодательством.

17. Обращения пользователя

Запрос можно направить на info@gymai.ru.

В целях защиты данных Оператор вправе запросить сведения, необходимые для идентификации заявителя и подтверждения полномочий представителя. Не следует направлять по email пароль, CVC/CVV-код или полные реквизиты карты.

Обращения рассматриваются в сроки, установленные законодательством Российской Федерации.

18. Изменение Политики

Актуальная редакция публикуется на https://gymai.ru. Если изменение требует нового согласия, соответствующая обработка продолжится только после его получения.