ЗДРАВОПОЛИТИКА
в отношении обработки персональных данных в сервисе «Здраво»
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок и условия обработки персональных данных, а также меры по обеспечению их безопасности в сервисе «Здраво».
1.2. Оператором персональных данных является индивидуальный предприниматель Парамонов Глеб Владимирович (ИНН 323505362560, ОГРНИП 323320000017009) (далее — Оператор). Контакты для обращений по вопросам персональных данных: электронная почта support@zdravofit.ru, телефон +7 999 620-84-28.
1.3. Политика применяется ко всем персональным данным, которые Оператор получает при использовании сайта https://zdravofit.ru, веб-приложения https://app.zdravofit.ru и мобильных приложений «Здраво» (далее вместе — Сервис).
1.4. Политика опубликована в свободном доступе в сети «Интернет» по адресу https://zdravofit.ru/privacy.html.
2. Основные понятия
2.1. В Политике используются понятия в значениях, установленных статьёй 3 Закона: персональные данные, обработка персональных данных, автоматизированная обработка, предоставление, распространение, блокирование, уничтожение, обезличивание персональных данных, информационная система персональных данных, трансграничная передача персональных данных.
2.2. Пользователь — физическое лицо, зарегистрировавшее учётную запись (Аккаунт) в Сервисе. Посетитель — физическое лицо, открывшее страницы Сервиса без регистрации.
3. Принципы обработки
3.1. Обработка персональных данных осуществляется на законной и справедливой основе; ограничивается достижением конкретных, заранее определённых и законных целей; не допускается объединение баз данных, обработка которых осуществляется в несовместимых между собой целях; обрабатываются только те персональные данные, которые отвечают целям обработки, их содержание и объём соответствуют заявленным целям; обеспечиваются точность и актуальность данных; хранение осуществляется не дольше, чем этого требуют цели обработки (статья 5 Закона).
4. Цели, категории, перечень данных и правовые основания
| Цель | Категории субъектов и перечень данных | Правовое основание |
|---|---|---|
| 4.1. Регистрация и вход в Аккаунт, идентификация Пользователя, заключение и исполнение договора (оферты) | Пользователи: адрес электронной почты, имя (отображаемое), идентификатор Аккаунта и устройства, дата и время регистрации, входа и дачи согласия | Пункт 5 части 1 статьи 6 Закона (исполнение договора, стороной которого является субъект); пункт 1 части 1 статьи 6 Закона (согласие) |
| 4.2. Расчёт индивидуальной нормы калорий и макронутриентов, ведение дневника, подбор блюд и тренировочных программ, отображение прогресса, синхронизация между устройствами, ответы помощника | Пользователи: пол, возраст, рост, масса тела и её динамика, процент жира и замеры тела, цель, уровень активности, дневник питания, потребление воды, режим голодания, тренировки, сон и самочувствие, ответы на вопросы контрольных опросов, вопросы помощнику. Эти сведения относятся к специальной категории персональных данных — данным о состоянии здоровья | Пункт 1 части 2 статьи 10 Закона — согласие субъекта в письменной форме, выраженное в форме электронного документа, подписанного простой электронной подписью (часть 4 статьи 9 Закона, раздел 5 оферты) |
| 4.3. Предоставление Премиум-доступа, учёт платежей, направление кассовых чеков, возврат денежных средств | Пользователи: идентификатор Аккаунта, адрес электронной почты, выбранный тариф, сумма, дата, идентификатор и статус платежа. Данные банковских карт Оператор не получает и не обрабатывает | Пункт 5 части 1 статьи 6 Закона; пункт 2 части 1 статьи 6 Закона (Федеральный закон от 22.05.2003 № 54-ФЗ, Налоговый кодекс Российской Федерации) |
| 4.4. Рассмотрение обращений, сообщений об ошибках, претензий и запросов субъектов | Пользователи и иные заявители: адрес электронной почты, номер телефона (если указан), содержание обращения, сведения об устройстве и версии приложения | Пункт 5 части 1 статьи 6 Закона; пункт 2 части 1 статьи 6 Закона (статьи 14, 20, 21 Закона, Закон РФ «О защите прав потребителей») |
| 4.5. Обеспечение безопасности и работоспособности Сервиса, защита от несанкционированного доступа и злоупотреблений | Пользователи и Посетители: IP-адрес, дата и время запроса, запрошенный адрес, сведения о браузере (User-Agent), количество попыток входа | Пункт 7 части 1 статьи 6 Закона (законные интересы Оператора при условии, что не нарушаются права субъекта); часть 1 статьи 19 Закона |
| 4.6. Улучшение Сервиса на основе статистики использования | Пользователи: обезличенные события использования (например, «открыт экран», «добавлен приём пищи», «продукт не найден») без содержимого записей; штрихкоды ненайденных продуктов | Пункт 1 части 1 статьи 6 Закона (согласие) |
4.7. Оператор не обрабатывает биометрические персональные данные, а также сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, судимости.
4.8. Сервис предназначен для лиц, достигших 18 лет. Оператор сознательно не обрабатывает персональные данные несовершеннолетних; при выявлении таких данных они уничтожаются.
4.9. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (статья 16 Закона). Рассчитанные Сервисом нормы и рекомендации носят справочный характер.
5. Порядок и условия обработки
5.1. Перечень действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в случаях, указанных в разделе 6 Политики, обезличивание, блокирование, удаление, уничтожение.
5.2. Способ обработки — смешанная обработка, с передачей по информационно-телекоммуникационной сети «Интернет». Соединение с Сервисом защищено протоколом TLS.
5.3. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Серверы Сервиса расположены в г. Москве.
5.4. Трансграничная передача персональных данных не осуществляется. Шрифты, скрипты и иные ресурсы Сервиса загружаются с серверов Оператора; сторонние системы веб-аналитики и рекламные трекеры не используются.
5.5. Распространение персональных данных (раскрытие неопределённому кругу лиц) не осуществляется.
5.6. В хранилище браузера (localStorage) на устройстве Пользователя сохраняются токен входа, настройки и копия данных дневника для работы без подключения к сети. Файлы cookie для отслеживания Пользователей не используются.
5.7. Пароли не используются: вход выполняется по одноразовому коду, направляемому на электронную почту. Одноразовые коды и секреты входа хранятся только в виде криптографических хэшей.
6. Передача персональных данных третьим лицам
6.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам для рекламы или маркетинга.
6.2. Персональные данные могут передаваться:
6.2.1. лицам, осуществляющим обработку по поручению Оператора на основании договора (часть 3 статьи 6 Закона), — провайдеру услуг размещения серверов (хостинга) на территории Российской Федерации и провайдеру почтового сервера на территории Российской Федерации (только адрес электронной почты и текст письма с кодом входа). Такие лица обязаны соблюдать принципы и правила обработки, конфиденциальность и безопасность персональных данных;
6.2.2. ООО НКО «ЮМани» (оператор платёжного сервиса ЮKassa) — идентификатор Аккаунта, наименование и сумма тарифа, а для направления кассового чека — адрес электронной почты. Данные банковской карты Пользователь вводит непосредственно на странице платёжного сервиса, который обрабатывает их как самостоятельный оператор;
6.2.3. государственным органам — в случаях и порядке, предусмотренных законодательством Российской Федерации.
6.3. Вопросы, заданные помощнику Сервиса, обрабатываются на серверах Оператора и третьим лицам не передаются.
7. Меры по обеспечению безопасности
7.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе: лично организует обработку персональных данных и контролирует её; издаёт настоящую Политику; ограничивает доступ к персональным данным кругом лиц, которым он необходим для исполнения обязанностей; применяет шифрование каналов связи (TLS), хэширование секретов входа, ограничение числа попыток входа и запросов; ведёт журналирование доступа к административным функциям; хранит данные на серверах в Российской Федерации; осуществляет оценку вреда, который может быть причинён субъектам, и внутренний контроль соответствия обработки требованиям Закона.
7.2. В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона (в течение 24 часов — о факте инцидента, в течение 72 часов — о результатах внутреннего расследования).
8. Сроки обработки и хранения
8.1. Данные Аккаунта и данные о состоянии здоровья — до удаления Аккаунта, отзыва согласия или достижения целей обработки.
8.2. Сведения о платежах — в течение 5 лет (подпункт 8 пункта 1 статьи 23 Налогового кодекса Российской Федерации).
8.3. Журналы запросов с IP-адресами — не более 90 дней; обезличенные события использования — не более 2 лет.
8.4. При достижении целей обработки, отзыве согласия или по требованию субъекта персональные данные уничтожаются в течение 30 дней, если иное не предусмотрено федеральным законом или договором (части 4, 5 статьи 21 Закона). Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.
9. Права субъекта персональных данных
9.1. Субъект персональных данных вправе: получать сведения об обработке своих персональных данных (статья 14 Закона); требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели; отозвать согласие на обработку персональных данных; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
9.2. Запрос направляется на адрес support@zdravofit.ru. Запрос должен содержать сведения, позволяющие идентифицировать субъекта и подтвердить его отношения с Оператором (часть 3 статьи 14 Закона); для Пользователя достаточно направить запрос с адреса электронной почты Аккаунта — такой запрос подписывается простой электронной подписью в соответствии с разделом 5 оферты.
9.3. Оператор предоставляет ответ в течение 10 рабочих дней с момента получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (часть 3 статьи 14, статья 20 Закона).
9.4. Отзыв согласия не влияет на законность обработки, осуществлённой до его отзыва. После отзыва согласия Оператор вправе продолжить обработку при наличии иных оснований, указанных в Законе (часть 2 статьи 9 Закона). Отзыв согласия на обработку данных, необходимых для работы Сервиса, влечёт невозможность дальнейшего использования Сервиса.
10. Заключительные положения
10.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения по адресу https://zdravofit.ru/privacy.html, если иное не указано в новой редакции. Если изменения затрагивают цели или перечень обрабатываемых данных, Оператор запрашивает новое согласие.
10.2. Текст согласия на обработку персональных данных размещён по адресу https://zdravofit.ru/consent.html.