Политика конфиденциальности

Оператор обрабатывает следующие категории данных:

• Учётные данные — адрес электронной почты и хеш пароля. Пароль в открытом виде Оператору недоступен.
• Данные профиля — отображаемое имя, масса тела, рост, возраст, дата начала тренировок, расписание, место тренировок, часовой пояс, язык интерфейса.
• Тренировочные данные — сессии, подходы (вес, повторения, RPE, признак разминочного подхода), упражнения, шаблоны, программы, заметки к тренировке и к отдельным упражнениям, оценка самочувствия.
• Данные о теле — вносимые пользователем по собственному усмотрению масса и рост, обхваты, а также загружаемые фотографии прогресса.
• Данные кардио-тренировок — продолжительность, дистанция, пульс и расход энергии, если они внесены пользователем.
• Социальные данные — код друга, список друзей и заявок, реакции и комментарии к событиям ленты активности, личные сообщения между друзьями, факт блокировки пользователя.
• Данные подписки на уведомления — непрозрачный адрес (endpoint), выдаваемый браузером при включении push-уведомлений, и связанные с ним ключи. Номер телефона и идентификаторы устройства не обрабатываются.
• Технические журналы — IP-адрес и user-agent запроса, сохраняемые хостинг-провайдером в целях безопасности и противодействия злоупотреблениям, а также отчёты об ошибках интерфейса с удалёнными параметрами запроса и замаскированными токенами.

Оператор не обрабатывает: данные геолокации, списки контактов, календарь, записи микрофона и камеры (за исключением фотографий, загружаемых пользователем самостоятельно), историю просмотров и рекламные идентификаторы.

Данные о состоянии здоровья относятся к специальной категории и обрабатываются исключительно на основании явного согласия пользователя, выраженного внесением таких данных в Сервис (ст. 9(2)(a) GDPR).

Оператор не осуществляет продажу персональных данных, не передаёт их рекламным сетям и не размещает рекламу в Сервисе.

• Supabase (PostgreSQL и объектное хранилище, регион ЕС) — учётные, тренировочные, телесные и социальные данные. Разграничение доступа обеспечивается механизмом row-level security на уровне базы данных.
• Vercel — размещение веб-приложения и технические журналы запросов.
• Mistral AI — формирование разборов тренировок, рекомендаций, программ, названий тренировок и ответов тренера. Передаётся минимально необходимый обезличенный контекст: сводные показатели тренировок и, при использовании чата, заданный пользователем вопрос. Адрес электронной почты, фотографии и личные сообщения не передаются.
• Push-сервисы браузеров (Apple, Google, Mozilla, Microsoft) — доставка уведомлений по протоколу Web Push с использованием VAPID.

Фотографии прогресса размещаются в закрытом бакете и выдаются по ссылкам с ограниченным сроком действия. Доступ к ним имеет только владелец учётной записи.

Часть данных становится видимой другим лицам исключительно по инициативе пользователя:

• Друзья видят отображаемое имя, факт и время завершения тренировок, недельный тоннаж, рекорды, серии тренировок и признак текущего нахождения на тренировке. Публикация отключается переключателем «Делиться активностью» в профиле.
• Личные сообщения доступны отправителю и получателю. Блокировка пользователя прекращает переписку в обе стороны.
• Ссылка на тренировку, созданная пользователем, открывает снимок карточки тренировки любому, кто располагает ссылкой, без авторизации. Ссылка содержит случайный токен и может быть отозвана владельцем в любой момент; отзыв прекращает доступ, но не отменяет ранее сделанные получателем копии.

• Данные учётной записи и тренировок хранятся до удаления учётной записи.
• Технические журналы хостинг-провайдера хранятся около 30 дней.
• Резервные копии баз данных ротируются в течение 30 дней после удаления исходных записей.
• Записи офлайн-очереди, не поддающиеся синхронизации, перемещаются в служебное хранилище и удаляются вместе с учётной записью.

• Доступ и переносимость — выгрузка тренировочных данных в формате CSV из раздела «Профиль»; фотографии загружаются из галереи.
• Уточнение и исправление — редактирование любых записей, подходов и измерений в интерфейсе Сервиса.
• Удаление — удаление отдельных записей в интерфейсе либо полное удаление учётной записи в порядке раздела 7.
• Отзыв согласия — отключение push-уведомлений в настройках браузера, отключение публикации активности в профиле. Отзыв согласия не влияет на законность обработки, осуществлённой до его получения.
• Обжалование — обращение в надзорный орган по месту жительства, если пользователь считает, что обработка нарушает его права.

Запросы направляются на princeofscale812@proton.me с адреса, привязанного к учётной записи. Ответ предоставляется в срок не более 30 календарных дней.

Для полного удаления учётной записи следует направить письмо на princeofscale812@proton.me с адреса, привязанного к записи, указав в теме «Удалить мой аккаунт». Учётная запись и все связанные записи — тренировки, подходы, измерения, фотографии, заметки, сообщения и социальные связи — удаляются каскадно в срок до 14 календарных дней. Резервные копии перестают содержать данные в течение последующих 30 дней.

• Пароли хранятся в виде хешей, вычисляемых средствами Supabase Auth.
• Весь трафик передаётся по протоколу HTTPS.
• Разграничение доступа к строкам реализовано в PostgreSQL: чтение и запись данных другого пользователя невозможны на уровне базы данных, а не только на уровне приложения.
• Привилегированные процедуры базы данных исполняются от имени служебной роли и недоступны анонимным клиентам.
• Зависимости приложения проходят регулярный аудит уязвимостей.

Сообщения о выявленных уязвимостях просьба направлять на princeofscale812@proton.me в порядке ответственного раскрытия. Оператор не преследует исследователей, действующих добросовестно.

Сервис не предназначен для лиц младше 13 лет; данные таких лиц Оператором сознательно не обрабатываются. Лица в возрасте от 13 до 18 лет вправе использовать Сервис с согласия родителей или иных законных представителей. При получении сведений о регистрации лица младше 13 лет соответствующая учётная запись удаляется. Обращения принимаются по адресу princeofscale812@proton.me.

Оператор вправе вносить изменения в настоящую Политику. При существенных изменениях уведомление размещается в интерфейсе Сервиса до вступления изменений в силу. Дата последней редакции указана в начале документа.

Вопросы, запросы на реализацию прав и жалобы направляются Оператору (princeofscale) по адресу электронной почты princeofscale812@proton.me.