1.  ОБЩИЕ ПОЛОЖЕНИЯ
1.1.   Настоящая Политика обработки персональных данных (далее — «Политика») определяет цели, правовые основания, условияи порядок обработкиперсональных данных, а также меры по их защите, принимаемые индивидуальным предпринимателем Бугаковым Антоном Сергеевичем (ОГРНИП 317784700131503, ИНН 781712768588, адрес: 196657, г. Санкт-Петербург, г. Колпино, ул. Веры Слуцкой, д. 83, кв. 6)(далее — «Оператор») в связи с деятельностью Спортивного клуба «СЕВЕР» (г. Санкт-Петербург, ул. Цветочная, 6-Н) (далее — «Клуб»).
1.2.    Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и является Приложением № 2 к договорам на оказание физкультурно-оздоровительных услуг, заключаемым Оператором как с лицами, достигшими 18 лет, так и с законными представителями несовершеннолетних (далее — «Договор»).
1.3.   Политика применяется ко всем персональным данным, обрабатываемым Оператором в связи с оказанием услуг Клуба. Обработка персональных данных работников Оператора регулируется отдельными локальными актами.
1.4.    Политика публикуется в свободном доступе на сайте Клуба https://www.sever-crossbox.ru/ и находится на рецепции Клуба.
2.  ОСНОВНЫЕ ПОНЯТИЯ
2.1.  Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
2.2.   Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включаясбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
2.3.  Специальные категорииперсональных данных — в том числе сведенияо состоянии здоровья.
2.4.     Клиент, Занимающийся, Несовершеннолетний Занимающийся, Сопровождающее лицо — в значении, установленном ПравиламиКлуба (Приложение № 1). Законныйпредставитель — родитель, усыновитель, опекун или попечитель несовершеннолетнего.
2.5.  Иные понятияприменяются в значении,установленном Законом.
3.  ПРАВОВЫЕ ОСНОВАНИЯОБРАБОТКИ
3.1.  Оператор обрабатывает персональные данные на основании: Гражданского кодекса РФ; Закона РФ
«О защите прав потребителей»; Налогового кодекса РФ; Федерального закона от 22.05.2003 № 54-ФЗ
«О применении контрольно-кассовой техники…»; Федерального закона от 04.12.2007 № 329-ФЗ «О физической культуре и спорте в Российской Федерации»; Договоров, стороной или выгодоприобретателем по которым является субъект персональных данных; согласий субъектов персональных данных (их законных представителей).
4.  КАТЕГОРИИ СУБЪЕКТОВ, ЦЕЛИ И ПЕРЕЧЕНЬДАННЫХ
4.1.     Совершеннолетние Клиенты (Занимающиеся). Цели: заключение и исполнение Договора; идентификация и пропуск в Клуб; обеспечение безопасности занятий и подбор нагрузки; расчёты, возврат денежных средств; оформление справок для социального налогового вычета; рассмотрение обращений; информирование об изменениях расписания и условий оказания услуг; направление рекламных рассылок — при наличии отдельного согласия. Данные: фамилия, имя, отчество; дата рождения; номер телефона, адрес электронной почты, имя пользователя в мессенджере; контакт на экстренный случай; паспортные данные и ИНН — только для возврата денежных средств и оформления справок для налогового вычета; банковские реквизиты — только для возврата; сведения об Абонементах, посещениях, заморозках и оплатах; сведения о состоянии здоровья в объёме анкеты (раздел 5 Политики); фотографическое изображение — только при наличии отдельного согласия.
4.2.    Законные представители несовершеннолетних. Цели: заключение и исполнение Договора в интересахнесовершеннолетнего; связь по вопросам посещения, самочувствия и безопасности ребёнка; расчёты, возврат денежных средств, оформление справок для налогового вычета; рассмотрение обращений.Данные: фамилия, имя, отчество; степень родства или основание полномочий (реквизиты документа об опеке, попечительстве); номер телефона, адрес электронной почты, имя пользователя в мессенджере; паспортные данные, ИНН, банковские реквизиты — в объёме, указанном в п. 4.1.
4.3.    Несовершеннолетние Занимающиеся. Цели: исполнение Договора; идентификация, пропуск в Клуб и передача Сопровождающему лицу; формирование групп по возрасту; обеспечение безопасности занятий. Данные: фамилия, имя, отчество; дата рождения; сведения о посещениях; сведения о состоянии здоровья, в том числе заболеваниях, аллергиях, принимаемых препаратах и медицинском допуске к занятиям (раздел 5 Политики); данные свидетельства о рождении или паспорта
— только для справки для налогового вычета; фотографическое изображение — только при наличии отдельного согласия законного представителя.
4.4.  Плательщики, не являющиеся Клиентами. Цели: расчёты, возвратденежных средств, оформление справок для налогового вычета. Данные: фамилия, имя, отчество; номер телефона или адрес электронной почты;ИНН, паспортные данныеи банковские реквизиты— в объёме, указанном в п. 4.1.
4.5.  Сопровождающие лица.Цель: передача несовершеннолетнего Занимающегося уполномоченному лицу. Данные: фамилия, имя, отчество; номер телефона; реквизиты документа, удостоверяющего личность, — для проверки при передаче ребёнка (без копирования).
4.6.   Лица, обратившиеся в Клуб (заявки на пробную тренировку, консультацию, обращения). Цели: обработка заявки или обращения, связь с заявителем. Данные: имя, номертелефона, адрес электронной почты или мессенджер, содержание обращения.
4.7.     Посетители Клуба, попадающие в зону видеонаблюдения. Цель: обеспечение безопасности посетителей и сохранности имущества, фиксация происшествий. Данные: видеоизображение. Видеонаблюдение ведётся открыто, с размещением информационных табличек, не ведётся в раздевалках, душевых и санузлах. Видеоизображение не используется Оператором для установления личности и не является биометрическими персональными данными.
4.8.   Объём обрабатываемых персональных данных соответствует заявленным целям и не является избыточным. Оператор не обрабатывает сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, судимости субъектов персональных данных и не обрабатывает биометрические персональные данные.
5.  ОБРАБОТКА СВЕДЕНИЙО СОСТОЯНИИ ЗДОРОВЬЯ
5.1.  Сведения о состоянии здоровьяобрабатываются исключительно в целях обеспечения безопасности занятий, подбора нагрузки и оказания помощи в экстренной ситуации и только при наличии согласия в письменной форме (п. 1 ч. 2 ст. 10 Закона).
5.2.  Доступ к сведениям о состоянии здоровья имеют только Оператор, тренеры, проводящие занятия соответствующим Занимающимся, и администратор — в объёме, необходимом для указанных целей.
5.3.     Сведения о состоянии здоровья не передаются третьим лицам, за исключением передачи медицинским работникам при оказании экстренной медицинской помощи для защиты жизни и здоровья субъекта и иных случаев, прямо предусмотренных законом.
6.  ОБРАБОТКА ДАННЫХ НЕСОВЕРШЕННОЛЕТНИХ
6.1.      Персональные данные несовершеннолетнего обрабатываются с согласия его законного представителя, которое даётся в письменной форме отдельным документом. Оператор вправе дополнительно получить согласие несовершеннолетнего, достигшего 14 лет.
6.2.   Все права субъекта персональных данных в отношении несовершеннолетнего осуществляет его законный представитель.
6.3.  Фото- и видеосъёмка несовершеннолетнего для публикации, а также размещение его изображения в Официальных каналах Клуба допускаются только с отдельного письменного согласия законного представителя.
7.  СОГЛАСИЕ НА ОБРАБОТКУ
7.1.     Согласие на обработку персональных данных оформляется отдельно от иных документов (Договора, анкеты, Правил), является конкретным, предметным, информированным, сознательным и однозначным.
7.2.     Отдельными документами (отдельными отметками) оформляются: согласие на обработку сведений о состоянии здоровья; согласие на получение рекламных рассылок; согласие на съёмку и публикацию изображения (в том числе в форме согласия на обработку персональных данных, разрешённых субъектом для распространения, — в случаях, предусмотренных ст. 10.1 Закона). Отказ от рекламных рассылок и публикации изображения не влияет на оказание услуг.
7.3.    Согласие может быть отозвано письменным заявлением, поданным на рецепции Клуба или направленным на электронную почту Оператора. Послеотзыва согласия Операторвправе продолжить обработку при наличии иных оснований, предусмотренных Законом (в том числе для исполнения Договора и требований налогового законодательства).
8.  УСЛОВИЯ И ПОРЯДОК ОБРАБОТКИ
8.1.   Обработка осуществляется с использованием средств автоматизации (учётная система Клуба) и без их использования (бумажные анкеты, заявления, журналы инструктажей).
8.2.   Оператор поручает обработку персональных данных (ч. 3 ст. 6 Закона) оператору CRM-системы Fitbase (ИНН 5029158222, https://fitbase.io/), используемой для учёта Клиентов, Занимающихся, Абонементов, посещений и работы мобильного приложения Клуба. Лицо, осуществляющее обработку по поручению, обязано соблюдать принципы и правила обработки и конфиденциальность персональных данных и принимать меры по их защите.
8.3.  Оператор передаётперсональные данные: банками платёжным агентам— в объёме, необходимом для приёма платежей и возврата денежных средств; оператору фискальных данных — в объёме, необходимом для направления электронного кассового чека; налоговым органам — в случаях, предусмотренных налоговым законодательством; органам государственной власти, суду и правоохранительным органам — по их законным запросам; медицинским работникам — в случаях, указанных в п. 5.3.
8.4.   Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Оператор не осуществляет трансграничную передачу персональных данных.
8.5.    Оператор не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки его персональных данных.
9.  СРОКИ ОБРАБОТКИ И ХРАНЕНИЯ
9.1.  Персональные данныеКлиентов, законных представителей, Несовершеннолетних Занимающихся, Плательщиков и Сопровождающих лиц обрабатываются в течение срока действия Договораи 3 (трёх) лет после его прекращения (срок исковой давности), если иной срок не установлен законом.
9.2.  Первичные учётныедокументы и документы, связанные с исчислением налогов, хранятся в сроки, установленные законодательством о бухгалтерском учёте и налоговым законодательством.
9.3.   Персональные данные лиц, обратившихся с заявкой, но не заключивших Договор, хранятся не более 1 (одного) года с даты последнего обращения.
9.4.    Записи видеонаблюдения хранятся не более 30 календарных дней, после чего автоматически удаляются, за исключением записей, фиксирующих происшествие, которые хранятся до завершения его рассмотрения.
9.5.  При достижении целей обработки, истечениисрока хранения или отзыве согласия(при отсутствии иных оснований для обработки) персональные данные уничтожаются в течение 30 календарных дней. Уничтожение документально оформляется в порядке, установленном уполномоченным органом по защите прав субъектов персональных данных.
10.  ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
10.1.  Субъект персональных данных (законный представитель) вправе:
10.1.1.  получать сведения об обработке своих персональных данных в объёме,предусмотренном ч. 7 ст. 14 Закона;
10.1.2.    требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели обработки;
10.1.3.  отозвать согласие на обработку персональных данных;
10.1.4.  обжаловать действияили бездействие Оператора в Роскомнадзоре или в суде.
10.2.   Запрос субъекта должен содержать сведения о документе, удостоверяющем личность субъекта (его представителя), сведения, подтверждающие отношения с Оператором (номер договора, дата покупки Абонемента, номер телефона в учётной системе или иные сведения), и подпись субъекта (представителя). Запрос может быть направлен в форме электронного документа, подписанного электронной подписью.
10.3.  Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.
11.  МЕРЫ ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ
11.1.  Оператор принимаетправовые, организационные и технические меры, необходимые для защиты персональных данных, в том числе:
11.1.1.    самостоятельно осуществляет функции лица, ответственного за организацию обработки персональных данных;
11.1.2.   утверждает локальные акты по вопросам обработки персональных данных и знакомит с ними работников и тренеров, имеющих доступ к персональным данным, с получением обязательства о неразглашении;
11.1.3.   предоставляет доступ к персональным данным только лицам, которым он необходим для выполнения трудовых (договорных) обязанностей, с использованием индивидуальных учётных записей и паролей;
11.1.4.    хранит бумажные анкеты, заявления и согласия в запираемых шкафах, исключающих доступ посторонних лиц;
11.1.5.  использует средства антивирусной защиты и резервного копирования, обеспечивает защиту учётной системы от несанкционированного доступа;
11.1.6.    проводит оценку вреда,который может быть причинён субъектамв случае нарушения Закона, и внутренний контроль соответствия обработки требованиям Закона;
11.1.7.    направляет в Роскомнадзор уведомление об обработкеперсональных данных и о его изменениях в случаях, предусмотренных Законом.
11.2.      В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах его внутреннего расследования, а также принимает меры по устранению последствий инцидента.
12.  ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
12.1.    Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с даты её размещения на сайте Клуба, если иное не предусмотрено новой редакцией.
12.2.     Вопросы по обработке персональных данных, запросы и отзывы согласия направляются Оператору: на рецепции Клуба по адресу г. Санкт-Петербург, ул. Цветочная, 6-Н; по электронной почте severcrossfit@gmail.com; по почте по адресу Оператора, указанному в п. 1.1.