Политика обработки персональных данных

1. Оператор персональных данных

Далее в тексте — «Оператор» или «Клуб».

2. Какие данные обрабатываются

При оформлении и обслуживании подписки на сайте Клуба Оператор обрабатывает следующие персональные данные Заказчика:

• фамилия, имя и отчество;
• номер телефона;
• адрес электронной почты;
• идентификатор учётной записи Заказчика в мессенджере MAX — только если Заказчик сам обратился к боту Клуба и передал ему свой контакт;
• сведения о подписке и платежах: выбранный тариф, статус подписки, дата, до которой оплачен доступ, даты и суммы платежей, идентификатор способа оплаты, присвоенный платёжным сервисом, а также промокод, если Заказчик его применил.
• отметка о переходе из другого фитнес-клуба, сведения о сданном браслете или клубной карте другого клуба (дата, наименование клуба, вид);
• при посещении клуба: данные документа, удостоверяющего личность, предъявленного при выдаче карты (фамилия, имя, отчество, дата рождения);
• если Заказчику нет 18 лет — сведения о его законном представителе из бланка согласия: фамилия, имя, отчество, адрес, данные документа, удостоверяющего личность, и документа, подтверждающего полномочия, номер телефона;
• фотографическое изображение — только с письменного согласия, для сличения лица с фото администратором при проходе. Это биометрические персональные данные (статья 11 152-ФЗ). Отказ от фотографирования не влечёт отказа в выдаче карты.

Реквизиты банковской карты (номер, срок действия, код проверки подлинности) Оператор не получает, не обрабатывает и не хранит: их вводит и хранит платёжный сервис ЮKassa. Клубу доступен только идентификатор способа оплаты, по которому нельзя восстановить данные карты.

Специальные категории персональных данных (в том числе сведения о состоянии здоровья) на сайте не обрабатываются. Биометрические персональные данные на сайте не обрабатываются; фотографическое изображение обрабатывается в клубе только в порядке, указанном выше.

Дополнительно, в объёме, необходимом для работы сайта, обрабатываются технические данные: IP-адрес, с которого поступил запрос. Он записывается в служебный журнал сайта и используется для защиты от автоматического перебора чужих контактов и кодов подтверждения. Кроме того, на сайте работает сервис веб-аналитики Яндекс.Метрика — о собираемых им данных сказано в подразделе 2.1.

Информационные системы Оператора. Перечисленные данные обрабатываются в двух информационных системах, принадлежащих Оператору: в базе данных сайта подписки и в учётной программе Клуба «UNIVERSE-Фитнес», установленной на компьютере Клуба по адресу: г. Сочи, ул. Юных Ленинцев, д. 1. После успешной оплаты сведения о Заказчике (фамилия, имя, отчество, номер телефона, адрес электронной почты) и о платеже (дата, сумма, идентификатор платежа, выбранный тариф и проданная клубная карта) вносятся в учётную программу Клуба автоматически. Если Заказчик в ней уже числится, вторая карточка не создаётся: оплата и проданная клубная карта привязываются к существующей карточке клиента.

2.1. Яндекс.Метрика и cookie

На сайте используется сервис веб-аналитики Яндекс.Метрика (ООО «ЯНДЕКС», г. Москва, ул. Льва Толстого, д. 16). С его помощью собираются:

• файлы cookie;
• сведения о действиях на сайте: просмотры страниц, клики, переходы, данные о браузере и устройстве, IP-адрес в обезличенном виде;
• запись сеанса (Вебвизор) — без содержимого полей ввода.

Цель — статистика посещений и улучшение работы сайта.

Основание — согласие посетителя. При входе на сайт показывается уведомление об использовании cookie и Яндекс.Метрики; продолжая пользоваться сайтом после этого уведомления, посетитель выражает согласие.

Отказаться можно в любой момент: отключить cookie в настройках браузера, установить блокировщик или расширение для отказа от Яндекс.Метрики.

Яндекс обрабатывает полученные данные в соответствии со своей политикой конфиденциальности.

2.2. Яндекс Карты

На странице оформления подписки встроена карта сервиса «Яндекс Карты» (ООО «ЯНДЕКС»). Она загружается, когда посетитель прокручивает страницу до блока контактов. При загрузке карты Яндекс получает технические данные (IP-адрес, сведения о браузере, cookie) на условиях своих правил использования сервиса «Яндекс Карты» и политики конфиденциальности. Клуб эти данные не получает.

3. Цели обработки

• оформление и обслуживание подписки на услуги фитнес-клуба;
• проведение платежей и автосписаний по подписке;
• оформление клубной карты на имя Заказчика и ведение учёта клиентов, платежей и проданных клубных карт в учётной программе Клуба;
• отправка кассовых чеков по совершённым платежам;
• информирование Заказчика о статусе подписки, в том числе через бот в мессенджере MAX — по обращению самого Заказчика;
• рассмотрение обращений Заказчика, включая заявления об отмене подписки и о возврате денежных средств;
• исполнение обязанностей, возложенных на Оператора законодательством (применение контрольно-кассовой техники, бухгалтерский учёт, хранение первичных документов).

Персональные данные не используются для рекламных рассылок и не передаются в рекламные сети. Решения, порождающие юридические последствия в отношении Заказчика, исключительно на основании автоматизированной обработки персональных данных Оператором не принимаются.

4. Правовые основания обработки

Обработка персональных данных осуществляется на следующих правовых основаниях:

• пункт 5 части 1 статьи 6 152-ФЗ — заключение по инициативе Заказчика и исполнение договора: Оферты о клубном членстве, абонементах и подписке с автоматическим списанием и Договора публичной оферты на оказание спортивно-оздоровительных услуг. Сюда относятся оформление подписки, платежи, выдача карты, передача сведений администраторам клуба для выдачи карты и сменные отчёты, а также хранение и резервное копирование этих данных;
• пункт 2 части 1 статьи 6 152-ФЗ — исполнение обязанностей по законодательству о применении контрольно-кассовой техники и о бухгалтерском учёте;
• пункт 1 части 1 статьи 6 152-ФЗ — согласие, которое Заказчик даёт по желанию отдельной отметкой на странице оформления. Оно нужно для связи при незавершённом оформлении и для сообщений бота в мессенджере MAX;
• часть 1 статьи 11 152-ФЗ — письменное согласие на обработку фотографического изображения; за лицо младше 18 лет его даёт законный представитель;
• пункты 2 и 7 части 1 статьи 6 152-ФЗ — данные законного представителя несовершеннолетнего из бланка согласия: проверка его полномочий (часть 1 статьи 9 152-ФЗ), реквизиты представителя в согласии на фотографирование (пункт 2 части 4 статьи 9 152-ФЗ) и подтверждение письменного согласия на договор, которого требует статья 26 Гражданского кодекса РФ.

Фамилия, имя и отчество обрабатываются в том числе потому, что клубная карта оформляется на конкретное лицо, а оплата должна быть отнесена к карточке этого лица в учётной программе Клуба; без идентификации Заказчика исполнение договора невозможно.

Объём обрабатываемых данных соответствует заявленным целям и не является избыточным по отношению к ним.

5. Передача данных третьим лицам

Для целей, указанных в разделе 3, Оператор передаёт персональные данные следующим третьим лицам:

• ООО НКО «ЮМани» (сервис ЮKassa) — проведение платежей, хранение данных банковской карты, формирование кассовых чеков;
• ООО «Бегет» — по поручению Оператора: размещение сайта и базы данных;
• [ЗАПОЛНИТЬ: ФИО или наименование исполнителя, обслуживающего сайт; адрес] — по поручению Оператора на основании договора (часть 3 статьи 6 152-ФЗ): передача сведений об оплате в учётную программу клуба через сервер исполнителя;
• [ЗАПОЛНИТЬ: юридическое лицо — оператор мессенджера MAX] — через мессенджер MAX администраторам клуба передаются имя, телефон, тариф и отметка о переходе из другого фитнес-клуба для выдачи карты и сменных отчётов; бот клуба в MAX — по обращению Заказчика.

Обработка персональных данных ЮKassa и хостинг-провайдером осуществляется по поручению Оператора (часть 3 статьи 6 152-ФЗ) на основании заключённых договоров, обязывающих их соблюдать конфиденциальность и требования к защите персональных данных. Ответственность перед Заказчиком за их действия несёт Оператор.

Внесение данных в учётную программу Клуба (раздел 2) передачей третьим лицам не является: программа установлена в помещении Клуба, данные в ней обрабатывает тот же Оператор, и за пределы Клуба эти сведения не выходят.

Иным лицам персональные данные не передаются, не продаются и не публикуются.

6. Сроки хранения

Персональные данные хранятся в течение срока действия подписки Заказчика, а после её завершения — в течение 5 лет: этот срок установлен законодательством Российской Федерации о бухгалтерском учёте и о применении контрольно-кассовой техники для хранения документов о расчётах (статья 29 Федерального закона от 06.12.2011 № 402-ФЗ).

Персональные данные, обработка которых не требуется для исполнения указанных обязанностей, уничтожаются по достижении цели обработки, при отзыве согласия или по требованию Заказчика — в срок, не превышающий 30 дней (части 4 и 5 статьи 21 152-ФЗ), если иной срок не установлен законом.

Резервные копии базы данных сайта хранятся не дольше [ЗАПОЛНИТЬ: срок] дней; более старые копии Оператор удаляет.

7. Отзыв согласия

Заказчик вправе отозвать согласие на обработку персональных данных в любой момент, без объяснения причин, любым удобным способом:

• в электронной форме — письмом на адрес электронной почты Клуба lavida.fitness@mail.ru;
• по телефону 8 (918) 603-06-02;
• на ресепшене по адресу: г. Сочи, ул. Юных Ленинцев, д. 1;
• письмом по адресу, указанному в разделе 1.

Получив отзыв, Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней, за исключением данных, которые Оператор обязан хранить по закону (раздел 6). Отзыв согласия может повлечь невозможность дальнейшего обслуживания подписки; отмена самой подписки и отказ от автосписания производятся отдельно и проще — на сайте Клуба (см. Оферту о клубном членстве, абонементах и подписке с автоматическим списанием).

8. Права субъекта персональных данных

В соответствии с 152-ФЗ субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных Оператором;
• требовать уточнения, блокирования или уничтожения персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — уполномоченный орган по защите прав субъектов персональных данных — или в судебном порядке.

Запрос направляется способами, указанными в разделе 7. Оператор рассматривает запрос и предоставляет ответ в срок, не превышающий 10 рабочих дней со дня его получения; этот срок может быть продлён не более чем на 5 рабочих дней с уведомлением Заказчика о причинах продления (статья 20 152-ФЗ).

9. Меры защиты

Оператор принимает необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц. В числе принимаемых мер (статья 18.1 152-ФЗ):

• издание и публикация настоящей Политики в свободном доступе на сайте Клуба;
• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение круга лиц, имеющих доступ к персональным данным, объёмом, необходимым для выполнения их обязанностей;
• передача данных между Заказчиком и сайтом Клуба по защищённому соединению (HTTPS);
• отказ от получения и хранения реквизитов банковских карт — они обрабатываются только на стороне платёжного сервиса;
• внутренний контроль соответствия обработки персональных данных требованиям 152-ФЗ.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, размещённых на территории Российской Федерации (часть 5 статьи 18 152-ФЗ).

10. Заключительные положения

Действие настоящей Политики распространяется на все персональные данные, обрабатываемые Оператором в связи с использованием сайта Клуба. Об изменениях Политики Оператор уведомляет размещением новой редакции на сайте Клуба.

Редакция от [ЗАПОЛНИТЬ: дата редакции].