Политика в отношении обработки персональных данных

1 Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных клиентов и посетителей студии СТ. Фитнес, пользователей её сайта и лиц, направляющих обращения. Документ устанавливает состав данных, цели, основания и сроки их обработки, правила передачи и порядок осуществления прав субъектов персональных данных.
1.2. Оператор персональных данных — индивидуальный предприниматель Степанец Екатерина Александровна, ИНН 780443957180, ОГРНИП 325784700024475, дата государственной регистрации 27 января 2025 года (далее — Оператор, Студия).
1.3. Адрес регистрации Оператора: Санкт-Петербург, проспект Просвещения, д. 69, кв./оф. 260. Адрес оказания услуг и приёма обращений: Санкт-Петербург, Индустриальный проспект, д. 31.
1.4. Сайт Студии: https://stfitness.ru/. Электронная почта для вопросов о персональных данных: st.fitness25@mail.ru. Контактный телефон: +7 (812) 509-50-81.
1.5. Политика распространяется на обращения, заключение и исполнение договоров, запись на занятия, посещение Студии и использование сайта. Тренировочные услуги предоставляются лицам от 18 лет. Обработка данных работников и соискателей регулируется отдельными документами.
1.6. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных). Ознакомление с Политикой не заменяет согласия, которое требуется для конкретной операции, и не разрешает обработку для любых целей.

2 Основные понятия

2.1. Пользователь — физическое лицо, обращающееся в Студию, приобретающее или использующее её услуги либо посещающее сайт. Пользователь является субъектом персональных данных в отношении сведений о нём.
2.2. Персональные данные — информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
2.3. Обработка персональных данных — действия с ними, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.
2.4. Автоматизированная обработка — обработка с помощью средств вычислительной техники. Обработка без средств автоматизации осуществляется, в частности, в систематизированных бумажных документах.
2.5. Распространение — раскрытие данных неопределённому кругу лиц. Предоставление — раскрытие данных определённому лицу или определённому кругу лиц.
2.6. Блокирование — временное прекращение обработки, кроме действий, необходимых для уточнения данных. Уничтожение исключает восстановление содержания данных в информационной системе либо уничтожает их материальный носитель.
2.7. Обезличивание — действия, после которых без дополнительной информации невозможно определить принадлежность данных конкретному человеку. Отсутствие имени в записи само по себе не подтверждает обезличивание.
2.8. Cookies — небольшие файлы, используемые при взаимодействии сайта с браузером. Идентификаторы cookies и другие технические сведения могут относиться к персональным данным, если позволяют прямо или косвенно определить посетителя.

3 Права и обязанности Оператора

3.1. Оператор вправе получать данные, необходимые для заявленных целей; выбирать законные способы обработки и защиты; привлекать обработчиков на условиях закона. Если нет оснований сомневаться в полученных сведениях, Оператор использует данные, предоставленные Пользователем. При необходимости он запрашивает соразмерное подтверждение достоверности или полномочий. Отзыв согласия не препятствует обработке на самостоятельном законном основании, в том числе для расчётов, обязательного учёта и защиты прав.
3.2. Оператор соблюдает принципы обработки и применяет необходимые и достаточные по закону меры защиты с учётом состава данных, способов обработки и угроз. Он ограничивает доступ, уточняет подтверждённо неточные сведения, прекращает неправомерную обработку и уничтожает данные в установленные законом сроки.
3.3. Оператор обеспечивает свободный доступ к Политике и предоставляет по запросу сведения об обработке в объёме и порядке статьи 14 Закона о персональных данных. Предоставление информации не должно раскрывать данные других лиц без законного основания. Оператор подтверждает наличие согласия или иного основания обработки в предусмотренных законом случаях.
3.4. Информация об обработке и возможность ознакомиться со своими данными предоставляются бесплатно в течение десяти рабочих дней. Продление допускается не более чем на пять рабочих дней с мотивированным уведомлением. Отказ допускается только по законному основанию и предоставляется с объяснением причин в установленный срок.
3.5. При рассмотрении запроса проверяется личность заявителя и, при необходимости, полномочия представителя. К формальному запросу о доступе применяются требования части 3 статьи 14 Закона о персональных данных. Дополнительные сведения запрашиваются соразмерно цели проверки; копия паспорта не является обязательной для любого обращения.

4 Права и обязанности Пользователя

4.1. Пользователь вправе получать сведения об обработке и знакомиться со своими данными; требовать уточнения, блокирования или уничтожения в предусмотренных законом случаях; отозвать согласие; потребовать прекращения обработки; обжаловать действия Оператора в Роскомнадзор или суд.
4.2. Пользователь предоставляет достоверные сведения и своевременно сообщает об изменении контакта и других данных, необходимых для оказания услуг. Для связи по договору используется последний предоставленный контакт, если Оператору не известно о его недостоверности. Данные другого человека передаются только при наличии его согласия, полномочий представителя или иного законного основания.
4.3. Лица, передавшие недостоверные сведения о себе или неправомерно передавшие сведения о другом человеке, несут ответственность при наличии оснований, предусмотренных законодательством РФ, включая возмещение доказанных убытков в установленном законом порядке. Оператор уточняет или прекращает обработку таких данных в предусмотренных законом случаях.
4.4. Отказ от обработки, для которой необходимо добровольное согласие, не ограничивает доступ к услугам, если такие данные не нужны для заключения и исполнения договора или выполнения требований закона. Отказ от съёмки, публикации изображения или рекламы не препятствует посещению занятий.
4.5. Пользователю рекомендуется сохранять контроль над своим телефоном, электронной почтой и кодами доступа, не передавать их другим лицам и сообщать Студии о компрометации контакта. Самостоятельная публикация Пользователем своих данных и их передача выбранным им сторонним сервисам не являются обработкой по поручению Студии. Оператор отвечает за собственные действия и за действия привлечённых им обработчиков в пределах закона.

5 Персональные данные Пользователя

5.1. Основные данные клиентской карточки: фамилия, имя, отчество при наличии, дата рождения, контактный номер телефона. При исполнении договора с клиентом связываются сведения о тарифе, заказе, оплате, возвратах, записях, отменах и посещениях, сроке и остатке абонемента, заморозках и продлениях. При обращении обрабатываются содержание сообщения и использованный контакт, включая электронную почту, если Пользователь обращается через неё.
5.2. На сайте используются файлы cookie и иные технические данные, необходимые для его работы, а также сервис веб-аналитики Яндекс.Метрика для получения статистики посещаемости и улучшения работы сайта. Сведения о составе обрабатываемых технических данных, целях, сроках и доступных настройках использования cookie и Яндекс.Метрики доводятся до Пользователя на сайте. Когда для соответствующей обработки требуется согласие, оно запрашивается отдельно до начала такой обработки.
5.3. Указанные в настоящем разделе сведения, позволяющие определить человека, далее именуются персональными данными. Дополнительные сведения для возврата, запроса о данных или проверки полномочий запрашиваются только при необходимости с объяснением цели. Обычная запись на занятие не предполагает обязательного сбора паспортных данных, адреса проживания и реквизитов банковской карты.
5.4. Оператор не осуществляет систематический сбор и хранение специальных категорий персональных данных, включая сведения о расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни и состоянии здоровья. Если Пользователь сообщает тренеру сведения об ограничениях нагрузки, они используются только в объёме, необходимом для организации безопасного занятия, и не включаются в постоянную клиентскую карточку без отдельного законного основания.
5.5. Если в отдельной ситуации возникает необходимость обработки специальных категорий персональных данных, такая обработка осуществляется только при наличии основания, предусмотренного законодательством Российской Федерации, и в минимально необходимом объёме.
5.6. Фото и видео с изображением Пользователя публикуются только при наличии отдельного разрешения в необходимом по закону объёме. Для распространения персональных данных оформляется отдельное согласие по статье 10.1 Закона о персональных данных; использование изображения учитывает статью 152.1 ГК РФ. Перечень данных, площадки, способы использования, срок, запреты и условия определяются в разрешениях.
5.6.1. Согласие на распространение предоставляется Пользователем непосредственно Оператору отдельно от других согласий. Пользователь определяет разрешённые категории и перечень данных, вправе установить предусмотренные законом условия и запреты. Молчание, бездействие и принятие оферты не являются согласием на распространение.
5.6.2. Не позднее трёх рабочих дней с момента получения согласия Оператор публикует информацию об условиях обработки, наличии запретов и условий обработки данных неограниченным кругом лиц. При этом сведения клиентской карточки не становятся общедоступными автоматически.
5.6.3. Пользователь вправе в любое время потребовать прекращения передачи данных, разрешённых для распространения. Требование направляется по контактам пункта 1.4 и содержит фамилию, имя, отчество при наличии, контактную информацию и перечень данных, обработку которых необходимо прекратить. Данные, указанные в таком требовании, обрабатываются только Оператором, которому оно направлено.
5.6.4. Согласие на распространение прекращает действие с поступлением требования по пункту 5.6.3. Оператор прекращает передачу соответствующих данных и доступ к ним на управляемых ресурсах, уведомляет привлечённых получателей. В случаях части 14 статьи 10.1 применяется срок не более трёх рабочих дней. Необходимое хранение доказательств согласия или обращения не разрешает дальнейшую публикацию.

6 Принципы обработки персональных данных

6.1. Обработка осуществляется на законной и справедливой основе.
6.2. Обработка ограничивается конкретными, заранее определёнными и законными целями. Использование данных для несовместимых целей не допускается.
6.3. Базы данных, обрабатываемые для несовместимых целей, не объединяются.
6.4. Обрабатываются только данные, необходимые для соответствующей цели.
6.5. Состав и объём данных соответствуют заявленным целям; избыточный сбор и использование не допускаются.
6.6. Оператор обеспечивает точность, достаточность и необходимую актуальность данных, принимает меры к уточнению или удалению неполных и неточных сведений.
6.7. Данные хранятся в форме, позволяющей определить человека, не дольше, чем необходимо для целей обработки, если иной срок не установлен законом или применимым договором. После достижения цели или утраты необходимости данные уничтожаются либо обезличиваются в предусмотренном законом порядке.

7 Цели обработки персональных данных

7.1. Рассмотрение обращений и подготовка договора: используются ФИО в необходимом объёме, контакт, содержание запроса и выбранная услуга.
7.2. Заключение и исполнение договора, запись и учёт занятий: используются основные данные и сведения об обслуживании из пункта 5.1. ФИО определяют клиента, дата рождения позволяет проверить возраст и разграничить клиентов, телефон обеспечивает связь по договору.
7.3. Сервисная связь: контакт и сведения о записи и заказе используются для подтверждения занятия, сообщения о переносе или отмене, уточнения оплаты и ответа на обращение. Такие сообщения не включают рекламу без отдельного основания.
7.4. Расчёты, возвраты и выполнение требований закона: используются сведения о заказе, платеже, возврате и необходимые реквизиты расчётных документов.
7.5. Рассмотрение претензий и защита прав: используются относящиеся к конкретному вопросу сведения о договоре, расчётах, посещениях, переписке и доказательства.
7.6. Организация безопасного занятия: сообщения Пользователя об ограничениях нагрузки используются только в объёме, необходимом для проведения конкретного занятия, без включения таких сведений в постоянную клиентскую карточку, если иное не требуется законодательством.
7.7. Размещение согласованных материалов о деятельности Студии: используются изображения и иные прямо разрешённые сведения на условиях пункта 5.6.
7.8. Работа сайта, форм записи и оплаты, а также анализ посещаемости и улучшение сайта с использованием сервиса Яндекс.Метрика. Обрабатываются только технические данные, необходимые для указанных целей, на условиях настоящей Политики и информации об использовании cookie, размещённой на сайте.
7.9. Рекламные сообщения клиентам Студией не направляются. При их введении продвижение услуг и рассылка допускаются только после получения необходимых предварительных согласий отдельно от покупки и сервисной связи. Согласие можно отозвать по адресу st.fitness25@mail.ru; рекламная обработка прекращается по требованию Пользователя.

8 Правовые основания обработки персональных данных

8.1. Правовые основания определяются Законом о персональных данных, Гражданским кодексом РФ, Законом РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», применимыми нормами налогового законодательства, законодательства о расчётах и учёте, договорами с Пользователями и согласиями в предусмотренных законом случаях.
8.2. Договорные цели пунктов 7.1–7.3 основаны на подготовке договора по инициативе Пользователя или его исполнении; расчёты и обязательный учёт — на требованиях закона; претензии — на применимых обязанностях и законных интересах при соблюдении прав Пользователя. Для обращения, не связанного с договором или законной обязанностью Оператора, получается отдельное согласие, если нет иного применимого основания. Для распространения персональных данных и рекламы применяются специальные основания и необходимые отдельные согласия.
8.3. Пользователь предоставляет согласие свободно, своей волей и в своём интересе. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным, позволять установить цель, перечень данных и разрешённые действия. Оно оформляется отдельно от иной информации и документов, которые Пользователь подтверждает или подписывает.
8.4. Заполнение формы, отправка сообщения, посещение сайта или принятие оферты не означают согласия на любую обработку. Если согласие необходимо, Оператор обеспечивает отдельное волеизъявление и возможность подтвердить его получение.
8.5. Разрешение cookies и JavaScript в браузере само по себе не заменяет необходимого согласия. До запуска необязательной аналитики или рекламных технологий раскрываются их условия и получаются согласия, когда они требуются законом. Настройки браузера и доступные настройки сайта позволяют управлять cookies.

9 Условия обработки персональных данных

9.1. Обработка допускается с согласия субъекта, когда согласие необходимо для соответствующей цели и операции.
9.2. Без согласия могут обрабатываться данные, необходимые для выполнения возложенных законом обязанностей Оператора, в объёме и на условиях применимой нормы.
9.3. Обработка для осуществления правосудия, исполнения судебного акта или акта уполномоченного органа допускается при наличии соответствующего законного основания.
9.4. Обработка, необходимая для заключения договора по инициативе Пользователя или исполнения договора с ним, осуществляется на основании пункта 5 части 1 статьи 6 Закона о персональных данных.
9.5. Законные интересы Оператора применяются только при доказанной необходимости обработки и соблюдении прав и свобод субъекта; они не заменяют специального основания для рекламы, распространения или иной обработки, для которой закон требует отдельного основания.
9.6. Доступность сведений в интернете сама по себе не разрешает их использование или распространение Студией. Для распространения соблюдается статья 10.1 Закона о персональных данных и условия соответствующего согласия.
9.7. Данные, подлежащие обязательному опубликованию или раскрытию по федеральному закону, обрабатываются в установленном им объёме и порядке.
9.8. К специальным категориям и биометрическим данным применяются отдельные требования статей 10 и 11 Закона о персональных данных. Общего договорного основания для них недостаточно.

10 Порядок сбора, хранения, передачи и защиты данных

10.1. Данные поступают от Пользователя при обращении к администратору, заполнении форм записи и покупки, оформлении договора и направлении заявлений. От представителя принимаются данные при наличии подтверждённых полномочий или другого законного основания.
10.2. Оператор определяет необходимые и достаточные меры защиты в соответствии со статьями 18.1 и 19 Закона о персональных данных и обязательными требованиями к применяемым системам. Меры включают ограничение доступа, инструктаж допущенных лиц, защиту учётных записей и документов, контроль выполнения поручений и сроков хранения, выявление нарушений и реагирование на них. Доступ предоставляется в пределах обязанностей и прекращается при утрате полномочий.
10.3. Передача третьим лицам допускается только для определённой законной цели в необходимом объёме и при наличии надлежащего основания. Клиентская база не продаётся и не предоставляется для самостоятельной рекламы сторонних лиц. Уполномоченным государственным органам данные предоставляются в пределах законного запроса.
10.3.1. FitBase используется для учёта клиентов, договоров, записей и посещений. В систему вносится необходимая часть сведений пункта 5.1. Тренеру предоставляются данные о записи и организации безопасного занятия в пределах его обязанностей. По сведениям поставщика сервиса, используемая инфраструктура размещена в центрах обработки данных на территории Российской Федерации, в том числе в Московской, Владимирской и Рязанской областях. Оператор обеспечивает соблюдение требований законодательства Российской Федерации о локализации персональных данных при их сборе и обработке.
10.3.2. Для работы сайта и обработки сведений, которые Пользователь вводит в формы сайта, Оператор использует платформу Tilda. В пределах работы соответствующих форм Tilda может обрабатывать персональные данные по поручению Оператора и только в объёме, необходимом для передачи заявки, записи, заказа или иного обращения Пользователя. Оператор учитывает условия используемой платформы при выполнении требований законодательства Российской Федерации о персональных данных, включая требования к локализации данных.
10.3.3. Для проведения платежей, возвратов и формирования расчётных документов Оператор может передавать банкам, платёжным сервисам, операторам онлайн-кассы и иным участникам расчёта только сведения, необходимые для соответствующей операции: данные заказа, сумму, идентификатор операции и контактные данные, если они необходимы для направления кассового чека или выполнения расчёта. Актуальный платёжный сервис определяется способом оплаты, выбранным Пользователем. Данные банковской карты, вводимые в платёжном интерфейсе соответствующего сервиса, не включаются в обычную клиентскую карточку Студии.
10.3.4. Сведения о получателях данных и лицах, осуществляющих обработку по поручению Оператора, предоставляются Пользователю в порядке пунктов 3.3–3.5 настоящей Политики.
10.4. Для исправления сведений Пользователь обращается к администратору или по адресу st.fitness25@mail.ru. Можно указать тему «Актуализация персональных данных», но она не обязательна. Подтверждённые неточности исправляются в течение семи рабочих дней; на время проверки применяется блокирование в предусмотренных законом случаях.
10.5. Отзыв согласия или требование прекратить обработку направляется по адресу st.fitness25@mail.ru, лично в Студию или почтой по адресу регистрации. Рекомендуется указать ФИО, контакт, суть требования и сведения для поиска записи. Отзыв не прекращает обработку, необходимую на самостоятельном законном основании. Требование прекратить обработку рассматривается в течение десяти рабочих дней с возможным продлением до пяти рабочих дней по части 5.1 статьи 21; более короткие сроки отдельных действий сохраняются.
10.6. При обработке по поручению Студии договором определяются данные, действия, цели и обязательные требования части 3 статьи 6 Закона о персональных данных. Необходимое согласие на поручение получается, если нет предусмотренного законом исключения. Студия несёт перед Пользователем установленную законом ответственность за такого обработчика. Если банк, платёжный сервис или другой получатель самостоятельно определяет цели обработки, включая выполнение собственных обязанностей по закону, за эти операции отвечает соответствующий самостоятельный оператор. Студия не управляет его системами и не принимает дополнительных гарантий за его самостоятельную обработку. Статус получателя определяется фактическими функциями и договором; это разграничение не исключает ответственности Студии за собственную передачу данных.
10.7. Запреты и условия распространения соблюдаются в пределах статьи 10.1 Закона о персональных данных. Предусмотренные этой статьёй исключения для государственных, общественных и иных публичных интересов применяются только при наличии соответствующего законного основания.
10.8. Срок хранения определяется по каждой цели. После окончательного рассмотрения обращения без заключения договора данные уничтожаются в срок пункта 10.9, если нет самостоятельного основания для хранения. Договорные данные используются до завершения договора и расчётов. Оператор вправе сохранять минимально необходимый архив для защиты прав до трёх лет после исполнения или прекращения договора; при конкретном споре — до его разрешения и исполнения решения на применимом законном основании. Сам по себе срок исковой давности не обосновывает хранение всей клиентской карточки. Избыточные данные, включая дату рождения, удаляются после утраты необходимости.
10.8.1. Документы, для которых законом установлен пятилетний срок, хранятся не менее пяти лет с предусмотренного законом момента; более длительный обязательный срок применяется к соответствующему документу. Это правило не распространяется на всю клиентскую карточку.
10.8.2. Материалы, разрешённые Пользователем к публикации, используются только в пределах срока соответствующего разрешения и достижения заявленной цели. После прекращения основания для публикации дальнейшее распространение прекращается в установленном законом порядке.
10.8.3. Сроки хранения файлов cookie, технических идентификаторов и данных интернет-статистики зависят от их вида, назначения, настроек сайта и используемого сервиса. Актуальная информация о таких технологиях и доступных настройках предоставляется Пользователю на сайте.
10.9. После достижения цели или отзыва согласия данные уничтожаются не позднее 30 календарных дней, если нет другого законного основания. Подтверждённо незаконно полученные или ненужные данные уничтожаются в течение семи рабочих дней по части 3 статьи 20. Выявленная неправомерная обработка прекращается в течение трёх рабочих дней; если сделать её правомерной невозможно, данные уничтожаются в течение десяти рабочих дней со дня выявления. Применяются предусмотренные законом уведомления заявителя и Роскомнадзора.
10.9.1. Бумажные и электронные данные уничтожаются способом, исключающим восстановление их содержания. Уничтожение подтверждается актом и необходимой выгрузкой из журнала; подтверждения хранятся три года по приказу Роскомнадзора от 28.10.2022 № 179. Резервные копии и системы обработчиков охватываются процедурами прекращения обработки и уничтожения; при объективной невозможности своевременного уничтожения применяется часть 6 статьи 21 Закона о персональных данных.

11 Действия с персональными данными

11.1. Для установленных целей Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление и доступ, обезличивание, блокирование, удаление и уничтожение. Распространение допускается только по пункту 5.6 либо на прямом основании закона.
11.2. 11.2. Обработка осуществляется с использованием информационных систем, в том числе Tilda и FitBase, с передачей по информационно-телекоммуникационным сетям при необходимости, и без средств автоматизации в бумажных документах. Для каждой операции используется минимально необходимый состав данных.
11.3. Решения, затрагивающие права и законные интересы Пользователя, не принимаются исключительно на основании автоматизированной обработки, кроме прямо допускаемых законом случаев с соблюдением установленных гарантий.

12 Трансграничная передача персональных данных

12.1. Трансграничная передача персональных данных Оператором не осуществляется. При изменении используемых сервисов Оператор до начала соответствующей передачи обеспечивает выполнение требований законодательства Российской Федерации и при необходимости актуализирует настоящую Политику.

13 Конфиденциальность персональных данных

13.1. Оператор и лица, получившие доступ, обязаны сохранять конфиденциальность и не раскрывать данные без согласия либо другого предусмотренного федеральным законом основания. Доступ ограничивается обязанностями и заявленной целью; право доступа регулярно проверяется.
13.2. При нарушении безопасности, повлекшем нарушение прав субъектов, Оператор действует по части 3.1 статьи 21 Закона о персональных данных: направляет первичное уведомление Роскомнадзору в течение 24 часов с выявления и сведения о результатах внутреннего расследования в течение 72 часов, принимает меры к прекращению нарушения и снижению его последствий.
13.3. Политика устанавливает порядок выполнения обязанностей по закону и не содержит безусловной гарантии отсутствия сбоев или противоправных действий третьих лиц. Основания, объём и порядок ответственности Оператора определяются законодательством РФ с учётом обстоятельств конкретного нарушения. Оператор не принимает дополнительных обязательств по компенсациям и гарантиям сверх установленных законом и отдельными соглашениями. Это положение не ограничивает обязательную ответственность Оператора и права Пользователя.

14 Заключительные положения

14.1. Разъяснения, заявления и требования по вопросам персональных данных направляются по адресу st.fitness25@mail.ru, лично в Студию или почтой по адресу регистрации Оператора. Контакты приведены в пунктах 1.3–1.4.
14.2. Политика вводится в действие после утверждения Оператором и действует до замены новой редакцией. Изменения процессов и законодательства отражаются в новой версии с указанием даты. Новая редакция не заменяет необходимого согласия на новую цель, данные, получателя или операцию.
14.3. Актуальная редакция Политики публикуется в свободном доступе на сайте Студии https://stfitness.ru/. Доступ к Политике обеспечивается с форм и страниц, через которые собираются персональные данные.