Политика обработки персональных данных

1. Оператор и назначение политики
1.1. Оператор персональных данных — ИП Шульженко Ярослав Николаевич, ИНН 366408911790, ОГРН/ОГРНИП 326366800071077. Контакт по персональным данным: ommm@myata.yoga, телефон +7 (473) 211 03 70.
1.2. Политика относится к данным посетителей сайта myata.yoga, кабинета lk.myata.yoga, приложения «Мята», клиентов студии, заявителей, плательщиков и получателей услуг или сертификатов.
1.3. Политика является информационным документом и доступна без обязательного принятия. Она не заменяет согласие, если оно требуется законом. Согласие оформляется отдельно от оферты и других принимаемых документов.

2. Принципы и основания
2.1. Оператор обрабатывает достаточные и необходимые данные для заранее определённых законных целей. Данные не используются для несовместимых целей и не хранятся дольше необходимого. Обработка выполняется автоматизированно и без автоматизации.
2.2. Необходимые действия по инициативе клиента для заключения договора и его исполнения осуществляются на основании пункта 5 части 1 статьи 6 Федерального закона № 152-ФЗ. Учёт, расчёты и исполнение требований государственных органов осуществляются также на предусмотренных законом основаниях.
2.3. Самостоятельные цели, для которых необходимо согласие, не обосновываются одним фактом регистрации или покупки. Законные интересы в безопасности и защите прав применяются только при соблюдении прав субъекта. Политика не устанавливает безусловного разрешения на любую обработку.

3. Цели, состав данных и сроки
3.1. Ответ на обращение и подготовка договора: имя, телефон или электронная почта, выбранная услуга и содержание обращения. Основание — инициированное субъектом взаимодействие для заключения договора, а для иных целей — соответствующее законное основание. Если договор не заключён и дальнейшее общение не согласовано, работа с заявкой прекращается; данные подлежат уничтожению или обезличиванию в течение 30 дней после достижения цели, если самостоятельное законное основание не требует их дальнейшего хранения. Сам факт обращения не обосновывает пятилетнее хранение всей переписки.
3.2. Договор, записи и абонементы: ФИО, телефон, электронная почта при её предоставлении, возраст при необходимости проверки допуска, сведения об услугах, записях, посещениях, заказах, оплатах, возвратах и обращениях. Полные реквизиты банковской карты в CRM не сохраняются. Основание — договор и обязанности, установленные законом.
3.3. Документы учёта и расчётов хранятся в течение обязательных сроков, как правило не менее 5 лет для соответствующих бухгалтерских документов. Для договорных документов и доказательств применяется срок, необходимый для исполнения договора и защиты прав; при споре — до его завершения и исполнения решения. Это не означает обязательного пятилетнего хранения всех данных аккаунта и переписки независимо от их цели.
3.4. Аккаунт и электронное взаимодействие: телефон, идентификатор клиента, защищённые данные для проверки пароля, сведения об устройстве и сессии, IP-адрес, user agent, события входа и подтверждения документов, версии и хэши документов, идентификаторы SMS-проверок. Основание — соглашение о кабинете, договор и обеспечение безопасности при соблюдении прав субъекта. Одноразовые коды не сохраняются в открытом виде в обычных журналах. Данные аккаунта обрабатываются до прекращения его использования и завершения необходимых процедур; доказательства договорных действий — в пределах срока соответствующего договора и защиты прав. Технические журналы безопасности хранятся до 12 месяцев, если расследование конкретного инцидента не требует обоснованного продления.
3.5. Сервисные сообщения: контакт и сведения, необходимые для сообщения о записи, переносе, отмене, оплате, безопасности аккаунта или ответе на обращение. Основание — соответствующий договор или инициированное клиентом взаимодействие. Реклама не относится к этой цели и требует отдельного предварительного согласия; отказ от рекламы не препятствует покупке и сервисным сообщениям.
3.6. Инструктаж: ФИО посетителя, дата и место проведения, сведения об инструктирующем, содержание или редакция инструкции и подписи. Основание — исполнение требований о безопасном оказании услуг и фиксации инструктажа. Запись не предназначена для сбора диагнозов. Журнал хранится в пределах обоснованного срока исполнения обязанностей и защиты прав с ограничением доступа.

4. Сведения о здоровье и изображение
4.1. Медицинские анкеты, диагнозы и полная история болезни не являются обязательными данными регистрации. Для целенаправленного сбора и хранения сведений о здоровье оформляется отдельное письменное согласие, кроме прямо предусмотренных законом исключений. Электронная форма такого согласия должна соответствовать требованиям закона к письменному согласию и электронной подписи.
4.2. Согласие не предполагается из устного упоминания о самочувствии, покупки или принятия политики. Оператор не вправе записывать в общие заметки избыточные медицинские подробности без надлежащего основания и ограничения доступа.
4.3. Использование изображения для публикаций и рекламы требует отдельного законного основания. Если для публикации персональных данных необходимо согласие на распространение, оно оформляется по статье 10.1 Федерального закона № 152-ФЗ. Посещение занятия само по себе таким согласием не является.

5. Apple Health и Health Connect
5.1. По отдельному добровольному разрешению пользователя приложение может записывать завершённые занятия йогой в Apple Health (HealthKit) или Health Connect на его устройстве. Для этого используются название студии, вид занятия, время начала и окончания и продолжительность тренировки.
5.2. Запись выполняется на устройстве средствами мобильной платформы. Приложение не считывает из этих сервисов диагнозы, пульс, сон, шаги, вес и другие медицинские показатели. На сервере сохраняются настройки интеграции и технические сведения о синхронизации занятий.
5.3. Эти сведения не используются для рекламы или продажи третьим лицам. Разрешение можно отозвать в настройках устройства и отключить интеграцию в приложении. Отключение прекращает новые записи; уже созданные записи удаляются средствами соответствующего сервиса пользователем. Системное разрешение не заменяет отдельное согласие, если для иной обработки его требует закон.

6. Cookie и веб-аналитика
6.1. Необходимые cookie и средства хранения поддерживают авторизацию, безопасность и выбранные настройки. Необязательная аналитика включается после соответствующего выбора пользователя; отказ не должен блокировать основные функции сайта.
6.2. На сайте myata.yoga используется Яндекс Метрика (ООО «ЯНДЕКС», г. Москва, ул. Льва Толстого, д. 16) для оценки посещаемости и улучшения сайта. Обрабатываются технические идентификаторы, IP-адрес, сведения о браузере и устройстве, посещённых страницах, переходах и действиях на сайте. Настройки аналитики можно изменить через управление cookie на сайте.
6.3. При использовании Вебвизора должны применяться настройки ограничения записи полей; поля паролей, платёжные и иные чувствительные сведения не предназначены для передачи в аналитику. Записи Вебвизора хранятся 15 дней, если доступность функции и её настройки не изменены поставщиком. Сроки конкретных cookie зависят от назначения и отображаются средствами браузера или сервиса.
6.4. Аналитика не заменяет отдельного согласия на рекламные рассылки. Продолжение просмотра без предусмотренного действия выбора само по себе не используется как согласие на необязательную аналитику.

7. Получатели, поручения и передача
7.1. Доступ внутри студии предоставляется только сотрудникам, которым он необходим для работы, с учётом их роли. Данные могут получать поставщики инфраструктуры и доставки сообщений, платёжные и фискальные участники, бухгалтерские и иные исполнители в пределах конкретной цели и законного основания, а также государственные органы при наличии законного требования.
7.2. Поручение обработки другому лицу оформляется договором с требованиями к целям, данным, операциям, конфиденциальности и защите. Если по части 3 статьи 6 Федерального закона № 152-ФЗ требуется согласие субъекта, оно получается отдельно; перечисление категорий подрядчиков в политике не заменяет его.
7.3. При сборе данных граждан РФ выполняются требования о локализации баз данных на территории РФ. Для трансграничной передачи применяются отдельные требования статьи 12 Федерального закона № 152-ФЗ, включая предварительное уведомление уполномоченного органа и соблюдение установленных ограничений. Согласие с договором не является универсальным разрешением на такую передачу.
7.4. Оператор не продаёт персональные данные. Сведения о конкретной обработке, основаниях, привлечённых обработчиках и передаче предоставляются субъекту по его законному запросу.

8. Защита, права и прекращение обработки
8.1. Применяются разграничение доступа, защищённое соединение, проверка входа, резервное копирование, журналирование значимых действий и организационные меры защиты. Меры должны соответствовать характеру и рискам обработки; политика не гарантирует абсолютную невозможность инцидента.
8.2. Субъект вправе получить сведения об обработке, потребовать исправления, блокирования или уничтожения данных в предусмотренных законом случаях, отозвать согласие, отказаться от рекламы и обжаловать действия Оператора в Роскомнадзоре или суде.
8.3. Обращение направляется на ommm@myata.yoga. Оператор запрашивает лишь необходимые сведения для проверки полномочий заявителя и отвечает в сроки, установленные законом.
8.4. Отзыв согласия прекращает обработку, основанную на нём, но не отменяет обработку на самостоятельных законных основаниях. Удаление аккаунта не влечёт уничтожения документов, которые должны храниться по закону или необходимы для разрешения конкретного спора.
8.5. По достижении цели либо утрате законного основания данные уничтожаются или обезличиваются в предусмотренные законом сроки. Продление хранения требует отдельного обоснования. Существенное расширение целей не легализуется одним обновлением политики: необходимое согласие получается отдельно.