Biathlon PRO — Политика конфиденциальности
1. Кто отвечает за ваши данные
Контролёр персональных данных: Барскова Дар’я Сергіївна, физическое лицо — предприниматель, регистрационный номер 3509113444, адрес 89030, Закарпатская обл., Ужгородский р-н, с. Волосянка, ул. Без названия, д. 67, Украина (далее — «Biathlon PRO», «мы»).
Контакт по вопросам конфиденциальности: sitecreation.daria@gmail.com.
Мы не назначали Data Protection Officer: обработка не является основной деятельностью в масштабе, который требует назначения по ст. 37 GDPR.
Представитель в Союзе по ст. 27 GDPR на сегодня не назначен. Пока его нет, все обращения по правам субъекта данных из ЕЭЗ адресуются контролёру напрямую по адресу и почте, указанным выше, и рассматриваются в те же сроки. Если представитель будет назначен, его данные появятся здесь новой версией документа.
2. Для кого и для чего работает приложение
Biathlon PRO помогает спортсменам вести дневник тренировок и самочувствия, тренерам — планировать нагрузку и работать с командой, приглашённым специалистам — вести записи обследований и лактатные протоколы тех спортсменов, которые их пригласили.
Приложение не ставит диагнозов, не даёт медицинских рекомендаций и не заменяет очный осмотр, экстренную помощь или решение лицензированного специалиста. Показатели готовности, графики и черновики ИИ — вспомогательные инструменты учёта.
Политика распространяется на мобильное приложение, серверную часть и официальные страницы Biathlon PRO.
3. Какие данные мы обрабатываем
- аккаунт и профиль: имя, email, роль, язык, страна, пол спортсмена, дата рождения, телефон, организация, специализация, фото профиля;
- связи и доступ: приглашения, членство в команде, связь с личным специалистом, события подтверждения и отзыва доступа;
- тренировки: планы, выполненные тренировки, пульсовые зоны, километры и минуты, стрельба, комментарии, отчёты;
- утренний check-in: самочувствие, сон, пульс лёжа и стоя, ВСР, высота, симптомы, приватные заметки;
- особые категории данных (ст. 9 GDPR): записи обследований, лактатные протоколы, антропометрия и — если спортсменка включила эту функцию — данные менструального цикла;
- технические данные и данные безопасности: идентификаторы сессии и устройства, версия приложения, журнал доступа, журнал согласий, счётчики неудачных попыток входа;
- push-токены устройства, если вы разрешили уведомления;
- покупки: план подписки, идентификатор продукта магазина, идентификатор события и срок оплаченного периода. Данные банковской карты мы не получаем и не храним — платёж целиком проходит на стороне Apple или Google;
- обращения в поддержку и всё, что вы добровольно в них присылаете.
4. Источники данных
Данные поступают от вас, от приглашённых вами тренера или специалиста, от тренера команды, в которую вы вошли, а также от магазинов приложений (факт покупки) и технических поставщиков (журналы). Интеграции с носимыми устройствами не подключены; их появление потребует отдельного уведомления и вашего выбора.
5. Цели и правовые основания
| Цель | Основание GDPR | Пояснение |
|---|---|---|
| Аккаунт и основные функции: дневник, тренировки, команда, отчёты | договор, ст. 6(1)(b) | без этого приложение не может работать |
| Записи о здоровье: обследования, лактат, цикл | явное согласие, ст. 9(2)(a) + договор, ст. 6(1)(b) | см. 5.1 |
| Передача данных приглашённому тренеру или специалисту | ваше действие + ст. 6(1)(b), для медицинских данных ст. 9(2)(a) | доступ возникает только после подтверждения приглашения и отзывается вами в любой момент |
| Безопасность, защита от подбора паролей, журнал доступа | законный интерес, ст. 6(1)(f) | интерес — защита ваших данных от чужого доступа |
| Покупки, подписки и бухгалтерский учёт | договор и юридическая обязанность, ст. 6(1)(b) и (c) | |
| ИИ-помощник, структурирующий свободный текст тренировки | договор, ст. 6(1)(b) | функция запускается только вашим нажатием; медицинские данные в неё не передаются |
| Push-уведомления | согласие, данное в системном диалоге устройства, ст. 6(1)(a) | отключаются в настройках устройства |
| Журнал согласий | юридическая обязанность, ст. 5(2) и 7(1) | доказательство того, что согласие было получено и отозвано |
Маркетинговых рассылок мы не ведём. Персональные данные не продаются и не передаются брокерам данных. Рекламных сетей и аналитики поведения в приложении нет.
5.1. Почему согласие, а не «медицинская помощь»
Для данных о здоровье мы опираемся на явное согласие, ст. 9(2)(a), а не на ст. 9(2)(h) («медицинская помощь»). Причина: ст. 9(2)(h) рассчитана на обработку медицинским работником, связанным профессиональной тайной, в рамках оказания помощи. Biathlon PRO не является медицинским учреждением и не оказывает помощь; специалист приходит по приглашению спортсмена и работает в своих отношениях с ним. Поэтому законным основанием остаётся ваше явное согласие.
Практическое следствие: согласие можно отозвать в любой момент, отозвав доступ специалиста или удалив соответствующие записи. Отзыв не делает незаконной обработку, выполненную до него.
6. Кто видит данные внутри продукта
- спортсмен видит свои данные;
- тренер видит данные спортсменов с подтверждённой активной связью и только в разрешённой области;
- приглашённый специалист видит записи обследований и лактат тех спортсменов, которые его пригласили;
- приватные заметки спортсмена не видит никто, кроме него;
- отзыв доступа прекращает его немедленно.
Каждое приглашение прямо называет, кто просит доступ и к каким категориям данных. Значимые события доступа и согласий записываются серверным временем в неизменяемый журнал.
7. Поставщики и получатели
| Поставщик | Что делает | Где |
|---|---|---|
| Supabase | база данных, аутентификация, серверные функции, файлы | Ирландия (ЕЭЗ) |
| Expo (Expo Application Services) | доставка push-уведомлений | США |
| RevenueCat | учёт подписок и событий магазинов | США |
| OpenAI | только структурирование текста тренировки, по нажатию пользователя | США |
| Resend | доставка писем поддержки | США |
| Apple, Google | распространение приложения, оплата подписок, системная доставка уведомлений | по их условиям |
Медицинские записи, лактат, данные цикла и приватные заметки не передаются в OpenAI ни при каких условиях — это ограничение реализовано в коде, а не только заявлено.
Государственным органам данные раскрываются только тогда, когда это обязательно по применимому закону.
8. Международная передача
Основное хранилище — Ирландия, то есть внутри ЕЭЗ, и для него передача за пределы ЕЭЗ не требуется.
Поставщики из таблицы выше, находящиеся в США, получают ограниченный объём данных: Expo — push-токен и текст уведомления, RevenueCat — идентификатор пользователя и событие покупки, OpenAI — текст тренировки без медицинского содержания, Resend — ваше письмо в поддержку. Передача в США происходит на основании стандартных договорных условий (SCC) и/или EU-US Data Privacy Framework в соответствии с договорами обработки данных, заключёнными с этими поставщиками.
9. Сроки хранения
| Категория | Срок |
|---|---|
| Аккаунт, профиль, тренировки, check-in, зоны | пока вы не удалите аккаунт |
| Записи обследований и лактат о вас | удаляются вместе с вашим аккаунтом |
| Push-токены | до выхода из аккаунта или удаления аккаунта |
| Обращения в поддержку | удаляются вместе с аккаунтом |
| Журнал согласий | сохраняется после удаления аккаунта как доказательство законности обработки и самого удаления, 3 года |
| Журнал доступа | 12 месяцев |
| События оплат | срок, установленный налоговым законодательством, не менее 3 лет |
| Резервные копии | в пределах цикла ротации резервных копий хостинга; удалённые данные исчезают из них по мере ротации |
Что происходит при удалении аккаунта. Ваш вход, профиль, дневник, тренировки, check-in, зоны, записи о вашем здоровье, кредиты ИИ, подписка, обращения в поддержку и push-токены удаляются. Записи, которые вы вели о других людях — например, обследования, которые специалист вёл о спортсменах, или планы, созданные тренером, — остаются у этих людей: это их данные, и они не просили их терять. Ваше имя, почта и все остальные личные поля из этих записей стираются; остаётся обезличенная отметка авторства. Команда, которой вы владели, не удаляется, а переходит в режим только для чтения.
Подробнее и без установки приложения: https://biathlonpro.barskoweb.com/delete-account.
10. Автоматизация и ИИ
Готовность, графики и черновики ИИ — вспомогательные инструменты. Они не являются диагнозом и не ограничивают вас автоматически. Мы не принимаем решений, основанных исключительно на автоматизированной обработке и имеющих для вас юридические или аналогично значимые последствия.
ИИ-помощник запускается только вашим действием, работает с текстом тренировки и ничего не сохраняет без вашего подтверждения.
11. Ваши права
Вы можете запросить доступ к своим данным, копию, исправление, удаление, ограничение обработки, переносимость, возразить против обработки на основании законного интереса и отозвать согласие. Часть этих действий доступна прямо в приложении: копия ваших данных одним файлом, выгрузка отчётов за период, редактирование профиля, отзыв доступа специалиста и удаление аккаунта.
Копия ваших данных. В профиле есть раздел «Мои данные» с кнопкой «Скачать». Она отдаёт один файл JSON — машиночитаемый формат, пригодный для переноса в другой сервис, как того требует право на переносимость. В файл входит всё, что приложение показывает вам самим: профиль, тренировки и стрельба, утренние check-in вместе с приватными заметками, обследования и лактатные протоколы, данные цикла, если вы их ведёте, пульсовые зоны, связи с командой и специалистами, подписка и кредиты ИИ, обращения в поддержку и журнал ваших согласий.
В файл не входят записи, которые о вас вели другие и которые приложение вам не показывает: заметки тренера и обследования, отмеченные врачом как видимые только тренеру. Не входят и записи, которые вы вели о других людях, — это их данные. Право на доступ шире права на переносимость, поэтому всё перечисленное выдаётся по запросу на sitecreation.daria@gmail.com. Приложение называет отсутствующее до скачивания и повторяет этот перечень внутри самого файла.
Остальные запросы: sitecreation.daria@gmail.com. Мы отвечаем в течение одного месяца. Для защиты ваших же данных мы можем попросить подтвердить личность.
Жалоба. Вы вправе подать жалобу в надзорный орган по месту жительства, работы или предполагаемого нарушения. В Украине — Уполномоченный Верховной Рады Украины по правам человека. В ЕЭЗ — надзорный орган вашей страны; их перечень публикует Европейский совет по защите данных.
12. Несовершеннолетние
Собственный аккаунт может создать человек, которому исполнилось 16 лет.
Для спортсмена младше 16 лет аккаунт создаёт и ведёт родитель или другой законный представитель. При регистрации он подтверждает, что действует как законный представитель и даёт согласие на обработку данных ребёнка, включая данные о здоровье. Это подтверждение записывается в журнал согласий.
Возраст 16 лет выбран как верхняя граница «возраста цифрового согласия» по ст. 8 GDPR, чтобы правило было единым во всех странах. Мы сознательно не предлагаем сервис детям младше 13 лет.
Если вы считаете, что ребёнок пользуется приложением без ведома законного представителя, напишите на sitecreation.daria@gmail.com — мы проверим и удалим аккаунт.
13. Безопасность
Разграничение доступа на уровне строк базы данных по принципу «запрещено по умолчанию»; доступ к чужим данным возможен только через подтверждённую связь; журнал доступа и согласий; ограничение частоты попыток входа; шифрование при передаче; пароли хранятся хешированными и нам не известны; записи, доступные только через серверные функции, недоступны клиенту напрямую.
Ни одна система не даёт абсолютной гарантии. При инциденте, создающем риск для ваших прав, мы уведомляем надзорный орган и, когда это требуется, вас — в сроки, установленные законом.
14. Изменения документа
У каждой редакции есть номер версии, язык, дата публикации и дата вступления в силу. Существенные изменения показываются до вступления в силу. Если требуется новое согласие, приложение запрашивает отдельное действие; прошлые события в журнале не перезаписываются.
15. Контакты
Контролёр: ФОП Барскова Дар’я Сергіївна Адрес: 89030, Закарпатская обл., Ужгородский р-н, с. Волосянка, ул. Без названия, д. 67, Украина Телефон: +380 75 287 19 77 Вопросы конфиденциальности: sitecreation.daria@gmail.com Поддержка: в приложении, «Профиль → Написать в поддержку»