Политика в отношении обработки
персональных данных в 42Club (ИП Сычев СК)

1.1. Настоящая Политика в отношении обработки персональных данных (далее - Политика) определяет цели, принципы, условия и порядок обработки персональных данных в 42Club (ИП Сычев С.К.) (далее - Оператор), а также меры по обеспечению безопасности персональных данных и порядок реагирования на инциденты.
1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 N 38-ФЗ «О рекламе», иными нормативными правовыми актами Российской Федерации в области обработки и защиты персональных данных, а также с учетом изменений административной ответственности, предусмотренных Федеральным законом от 30.11.2024 N 420-ФЗ.
1.3. Действие Политики распространяется на персональные данные клиентов, потенциальных клиентов, посетителей сайта, представителей контрагентов, работников и иных физических лиц, персональные данные которых обрабатываются Оператором.
1.4. Оператор обрабатывает персональные данные законно, добросовестно, только в объеме, необходимом для конкретных, заранее определенных и законных целей.
1.5. Согласие субъекта персональных данных на обработку персональных данных оформляется отдельно от настоящей Политики и отдельно от иных информации и (или) документов, которые подтверждает или подписывает субъект персональных данных.

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.
Оператор — 42Club (ИП Сычев С.К.), самостоятельно или совместно с другими лицами организующий и (или) осуществляющий обработку персональных данных.
Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, блокирование, удаление и уничтожение.
Субъект персональных данных — физическое лицо, к которому относятся персональные данные.
Конфиденциальность персональных данных — обязанность не раскрывать персональные данные третьим лицам без законного основания.
Инцидент с персональными данными — неправомерная или случайная передача, предоставление, распространение или доступ к персональным данным, повлекшие или способные повлечь нарушение прав субъектов персональных данных.

Наименование: 42Club (ИП Сычев С.К.)
Официальный сайт: https://42club.ru
Контакт для обращений субъектов персональных данных: info@42club.ru
Ответственный за организацию обработки персональных данных: назначается внутренним распорядительным документом Оператора

4. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Оператор обрабатывает персональные данные при наличии одного или нескольких правовых оснований:
• согласие субъекта персональных данных на обработку его персональных данных;
• заключение, исполнение, изменение или прекращение договора с субъектом персональных данных;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации;
• осуществление прав и законных интересов Оператора при условии, что этим не нарушаются права и свободы субъекта персональных данных;
• иные основания, предусмотренные законодательством Российской Федерации.
4.2. Если обработка персональных данных требует согласия субъекта, такое согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Оператор обеспечивает возможность подтвердить факт получения согласия.
4.3. Согласие на рекламные и информационные рассылки, а также согласие на обработку специальных категорий персональных данных оформляются отдельно, если соответствующая обработка осуществляется Оператором.

5.1. Оператор может обрабатывать персональные данные следующих категорий субъектов:
• клиенты и потенциальные клиенты фитнес-клуба;
• посетители сайта 42club.ru и пользователи онлайн-форм;
• лица, направляющие обращения Оператору;
• представители контрагентов и партнеров;
• работники и кандидаты на трудоустройство, если соответствующая обработка осуществляется в рамках кадрового учета.
5.2. В зависимости от цели обработки Оператор может обрабатывать следующие категории персональных данных:
Идентификационные данные — фамилия, имя, отчество, дата рождения, пол, сведения из документа, удостоверяющего личность, если они необходимы для договора или учета.
Контактные данные — номер телефона, адрес электронной почты, аккаунт в мессенджере или социальной сети, иной способ связи, предоставленный субъектом.
Данные о договоре и услугах — сведения о членстве, абонементе, записях на занятия, посещениях, оплатах, истории оказания услуг, обращениях и претензиях.
Данные для индивидуализации услуг — цели тренировок, предпочтения по расписанию и формату занятий, сведения, добровольно предоставленные субъектом для подбора услуг.
Специальные категории данных — сведения о состоянии здоровья, противопоказаниях, травмах и ограничениях - только при наличии отдельного письменного согласия субъекта или иного законного основания.
Технические данные сайта — IP-адрес, cookie-файлы, сведения о браузере, устройстве, действиях на сайте и источнике перехода, если такие данные собираются техническими средствами сайта.
Изображения и материалы коммуникаций — фотографии, видеозаписи, переписка, аудио- или текстовые сообщения - только при наличии законного основания и в пределах конкретной цели обработки.

6.1. Оператор обрабатывает персональные данные в следующих целях:
• заключение и исполнение договоров на оказание услуг фитнес-клуба;
• запись на занятия, обратная связь, обработка заявок и обращений;
• идентификация клиента при оказании услуг и ведении клиентского учета;
• подбор услуг, тренировок, расписания и формата взаимодействия с учетом запроса клиента;
• информирование о статусе записи, изменениях расписания, условиях оказания услуг и организационных вопросах;
• направление рекламных и маркетинговых сообщений при наличии отдельного согласия либо иного законного основания;
• ведение бухгалтерского, налогового, договорного и управленческого учета;
• рассмотрение претензий, урегулирование споров, защита прав и законных интересов Оператора;
• обеспечение безопасности информационных систем и предотвращение несанкционированного доступа к персональным данным;
• выполнение обязанностей, предусмотренных законодательством Российской Федерации.
6.2. Оператор не осуществляет обработку персональных данных, несовместимую с целями, указанными в настоящей Политике.

7.1. Субъект персональных данных имеет право: требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав; требовать перечень своих персональных данных, обрабатываемых Оператором и источник их получения; получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения; требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях; обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных; на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

7.1. При обработке персональных данных Оператор соблюдает следующие принципы:
• законность и справедливость обработки;
• ограничение обработки достижением конкретных, заранее определенных и законных целей;
• недопущение объединения баз данных, обработка которых осуществляется в несовместимых целях;
• соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки;
• точность, достаточность и актуальность персональных данных;
• хранение персональных данных не дольше, чем этого требуют цели обработки, договор или законодательство;
• уничтожение или обезличивание персональных данных после достижения целей обработки либо утраты законных оснований для обработки.
7.2. Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, если иное не предусмотрено законодательством Российской Федерации или отдельным согласием субъекта.

.1. В связи со спецификой фитнес-услуг субъект может добровольно предоставить сведения о состоянии здоровья, травмах, противопоказаниях, ограничениях физической нагрузки или иных обстоятельствах, важных для безопасного оказания услуг. Такие сведения относятся к специальным категориям персональных данных и обрабатываются только при наличии отдельного письменного согласия субъекта либо иного законного основания.
8.2. Оператор не требует предоставления сведений о здоровье сверх объема, необходимого для безопасного оказания услуг, и не использует такие сведения для целей, не связанных с оказанием услуг, безопасностью клиента или исполнением требований закона.
8.3. Оператор не осуществляет обработку биометрических персональных данных для идентификации личности, если такая обработка специально не введена отдельным внутренним решением Оператора и не оформлена в порядке, предусмотренном законодательством Российской Федерации.
8.4. Использование фотографий, видеозаписей и иных изображений субъекта в рекламных, публичных или информационных материалах допускается только при наличии отдельного согласия субъекта, если иное не предусмотрено законом.
8.5. Видеонаблюдение, если оно применяется в помещениях клуба, осуществляется исключительно в целях безопасности, защиты имущества, предотвращения правонарушений и урегулирования спорных ситуаций. Оператор размещает информационные уведомления о видеонаблюдении в местах, где оно ведется, и не использует видеозаписи для биометрической идентификации без отдельного законного основания.

9.1. Персональные данные могут быть получены непосредственно от субъекта персональных данных, из заполненных им форм на сайте, заявок, договоров, анкет, переписки, телефонных и иных обращений, а также из иных законных источников.
9.2. Оператор осуществляет обработку персональных данных как с использованием средств автоматизации, так и без использования таких средств.
9.3. При обработке без использования средств автоматизации Оператор обеспечивает раздельное хранение материальных носителей персональных данных, ограничение доступа к ним и контроль лиц, допущенных к работе с такими носителями.
9.4. При автоматизированной обработке Оператор применяет организационные и технические меры защиты, включая ограничение доступа, учет пользователей, резервное копирование, контроль доступа к информационным системам и иные меры, соответствующие характеру и объему обрабатываемых данных.
9.5. Передача персональных данных третьим лицам допускается только при наличии законного основания: согласия субъекта, договора поручения обработки персональных данных, требования закона, судебного акта, запроса уполномоченного органа или иного предусмотренного законом основания.
9.6. Оператор не раскрывает персональные данные третьим лицам и не распространяет персональные данные без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.

10.1. Оператор вправе поручить обработку персональных данных третьим лицам, если это необходимо для оказания услуг, технической поддержки сайта, работы CRM-системы, записи на занятия, обработки платежей, рассылок, бухгалтерского, юридического или иного сопровождения деятельности Оператора.
10.2. Лица, обрабатывающие персональные данные по поручению Оператора, обязуются соблюдать конфиденциальность персональных данных, обеспечивать их безопасность, использовать данные только в пределах поручения Оператора и уведомлять Оператора о событиях, которые могут повлечь нарушение прав субъектов персональных данных.
10.3. Оператор вправе запрашивать у таких лиц документы и информацию, подтверждающие принятие ими необходимых мер по защите персональных данных.

11.1. При сборе персональных данных граждан Российской Федерации, в том числе с использованием сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких персональных данных с использованием баз данных, находящихся на территории Российской Федерации, в случаях и порядке, предусмотренных законодательством Российской Федерации.
11.2. Трансграничная передача персональных данных по общему правилу не осуществляется. Если такая передача потребуется для конкретного сервиса или цели обработки, Оператор до начала передачи выполняет требования законодательства Российской Федерации, включая оценку условий передачи, уведомление уполномоченного органа, если оно требуется, и получение согласия субъекта при необходимости.

12.1. Срок обработки и хранения персональных данных определяется целью обработки, сроком действия договора, сроками исковой давности, требованиями бухгалтерского, налогового, трудового, архивного и иного законодательства, а также сроками, указанными в согласии субъекта персональных данных.
12.2. После достижения целей обработки, истечения срока действия согласия либо утраты иного законного основания для обработки персональные данные подлежат уничтожению, обезличиванию или блокированию в случаях, предусмотренных законодательством Российской Федерации.
12.3. Если субъект отозвал согласие на обработку персональных данных, Оператор прекращает обработку персональных данных, осуществлявшуюся на основании такого согласия, кроме случаев, когда Оператор вправе продолжить обработку без согласия на основании закона.

13.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
13.2. В состав мер защиты могут входить:
• назначение ответственного за организацию обработки персональных данных;
• утверждение внутренних документов по вопросам обработки и защиты персональных данных;
• определение угроз безопасности персональных данных и применение мер их нейтрализации;
• ограничение и разграничение доступа работников и подрядчиков к персональным данным;
• учет лиц, имеющих доступ к персональным данным;
• использование средств защиты информации, паролей, антивирусной защиты и резервного копирования;
• регистрация и анализ действий пользователей в информационных системах, если это технически реализовано;
• обучение и информирование работников, имеющих доступ к персональным данным;
• контроль соблюдения требований законодательства и внутренних документов;
• принятие мер по выявлению, предотвращению и расследованию инцидентов с персональными данными.
13.3. Конкретный состав мер защиты определяется Оператором с учетом характера, объема, категорий обрабатываемых персональных данных, актуальных угроз и используемых информационных систем.

14.1. К инцидентам с персональными данными относятся, в частности:
• утрата, кража или компрометация носителей персональных данных;
• несанкционированный доступ к CRM-системе, почте, сайту, базе клиентов или иному информационному ресурсу;
• ошибочная отправка персональных данных не тому адресату;
• публикация или распространение персональных данных без законного основания;
• вредоносная активность, взлом, фишинг, компрометация учетной записи работника или подрядчика;
• иное событие, которое повлекло или могло повлечь неправомерную передачу, предоставление, распространение или доступ к персональным данным.
14.2. При выявлении инцидента работник, подрядчик или иное лицо, которому стало известно об инциденте, обязано незамедлительно сообщить об этом ответственному лицу Оператора или руководителю Оператора любым доступным способом связи.
14.3. Ответственное лицо Оператора после получения информации об инциденте организует:
фиксацию даты, времени, источника сообщения и обстоятельств инцидента;
первичную оценку затронутых систем, категорий персональных данных и числа субъектов;
ограничение последствий инцидента: блокировку учетных записей, смену паролей, отключение доступа, изоляцию скомпрометированных устройств или сервисов, приостановление передачи данных;
сохранение журналов, переписки, скриншотов, технических логов и иных материалов, необходимых для расследования;
уведомление руководителя Оператора и привлечение технических специалистов или подрядчиков при необходимости;
проведение внутреннего расследования и подготовку сведений для уполномоченного органа.
14.4. В случае установления факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекшего нарушение прав субъектов персональных данных, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных:
в течение 24 часов с момента выявления инцидента - о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде, принятых мерах по устранению последствий, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом;
в течение 72 часов с момента выявления инцидента - о результатах внутреннего расследования, а также о лицах, действия которых стали причиной инцидента, при наличии таких сведений.
14.5. Если инцидент имеет признаки компьютерного инцидента, повлекшего неправомерную передачу, предоставление, распространение или доступ к персональным данным, Оператор организует взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации в порядке, установленном уполномоченными органами.
14.6. Оператор ведет внутренний журнал учета инцидентов с персональными данными. В журнале фиксируются дата и время выявления, описание события, затронутые информационные системы, категории персональных данных, примерное количество субъектов, принятые меры, сроки уведомлений, результаты расследования и меры по предотвращению повторения инцидента.
14.7. По итогам расследования Оператор принимает корректирующие меры: ограничивает или изменяет доступы, обновляет пароли и настройки безопасности, проводит дополнительный инструктаж работников, изменяет внутренние процедуры, взаимодействует с подрядчиками и принимает иные меры, направленные на устранение причин инцидента.

15.1. Субъект персональных данных имеет право:
• получать информацию, касающуюся обработки его персональных данных;
• требовать уточнения персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных в случаях, предусмотренных законодательством;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.
15.2. Для реализации прав субъект может направить обращение на адрес электронной почты info@42club.ru либо иным способом, позволяющим подтвердить получение обращения Оператором.

16.1. Оператор обязан:
• обрабатывать персональные данные в соответствии с законодательством Российской Федерации;
• предоставлять субъекту персональных данных информацию об обработке его персональных данных в случаях и порядке, предусмотренных законом;
• принимать меры по обеспечению безопасности персональных данных;
• уточнять, блокировать или уничтожать персональные данные в случаях, предусмотренных законом;
• обеспечивать конфиденциальность персональных данных;
• направлять уведомления в уполномоченный орган в случаях, предусмотренных законодательством Российской Федерации;
• вести учет и расследование инцидентов с персональными данными;
• доказывать наличие согласия субъекта либо иного законного основания обработки персональных данных.

17.1. Обращение субъекта персональных данных должно содержать сведения, позволяющие идентифицировать заявителя, суть требования и контактный адрес для направления ответа. Оператор вправе запросить дополнительные сведения, необходимые для подтверждения личности заявителя, если это требуется для защиты персональных данных от неправомерного раскрытия.
17.2. Отзыв согласия на обработку персональных данных может быть направлен в простой письменной форме на адрес электронной почты info@42club.ru или иным способом, указанным в соответствующей форме согласия.
17.3. Оператор рассматривает обращения субъектов персональных данных и направляет ответы в сроки, предусмотренные законодательством Российской Федерации.
17.4. Отзыв согласия не влияет на правомерность обработки персональных данных, осуществленной до момента получения Оператором такого отзыва.

18.1. При использовании сайта 42club.ru Оператор может получать технические данные, необходимые для корректной работы сайта, обработки заявок, анализа посещаемости и защиты сайта от злоупотреблений.
18.2. К таким данным могут относиться IP-адрес, cookie-файлы, сведения о браузере, устройстве, операционной системе, источнике перехода, времени посещения и действиях пользователя на сайте.
18.3. Пользователь может ограничить или отключить использование cookie-файлов в настройках браузера. При этом отдельные функции сайта могут работать некорректно.
18.4. Если на сайте используются формы обратной связи, записи на занятия, заявки на пробное занятие или иные формы сбора персональных данных, рядом с такими формами должна быть размещена ссылка на настоящую Политику и отдельная форма согласия на обработку персональных данных, если такое согласие является правовым основанием обработки.

19.1. Оператор вправе изменять настоящую Политику при изменении законодательства Российской Федерации, процессов обработки персональных данных, используемых информационных систем, состава персональных данных, целей обработки или мер защиты.
19.2. Новая редакция Политики вступает в силу с момента ее утверждения Оператором и размещения на сайте, если иное не предусмотрено новой редакцией Политики.
19.3. Действующая редакция Политики размещается на официальном сайте Оператора: https://42club.ru.

20.1. Контроль исполнения требований настоящей Политики осуществляется руководителем Оператора и лицом, ответственным за организацию обработки персональных данных.
20.2. Работники и подрядчики, получающие доступ к персональным данным, обязаны соблюдать требования настоящей Политики, внутренних документов Оператора и законодательства Российской Федерации.
20.3. В части, не урегулированной настоящей Политикой, применяются положения законодательства Российской Федерации о персональных данных.