Политика в отношении обработки персональных данных

Редакция документа: 2026-09-03

Настоящий документ — политика оператора в отношении обработки персональных данных, публикуемая в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). Политика определяет цели, правовые основания, состав и порядок обработки персональных данных, а также реализуемые оператором меры по их защите.

Настоящая Политика применяется ко всем персональным данным, которые оператор получает от пользователей сайта wolkup.com (wolkup.ru) и мобильного приложения Wolkup (далее вместе — Платформа).

Пояснительное описание того, какие данные собираются в каждой функции Платформы и как они используются, приведено в Политике конфиденциальности. Условия пользования Платформой — в Условиях использования.

1. Оператор персональных данных

Заборских Артем, физическое лицо, гражданин Республики Казахстан. Обработка персональных данных осуществляется оператором лично; работники у оператора отсутствуют, обработка персональных данных другим лицам не поручена, за исключением случаев, указанных в разделе 8.

Адрес электронной почты для обращений субъектов персональных данных, в том числе по вопросам обработки персональных данных: [email protected]

Оператор включён в реестр операторов, осуществляющих обработку персональных данных, — регистрационный номер 78-26-216532 (приказ № 272 от 27 августа 2026 года). Уведомление об обработке персональных данных направлено в Роскомнадзор 26 августа 2026 года; дата начала обработки персональных данных — 7 июня 2025 года.

2. Основные понятия

Понятия «персональные данные», «обработка персональных данных», «оператор», «обезличивание», «блокирование», «уничтожение персональных данных», «автоматизированная обработка» и «предоставление персональных данных» используются в значениях, определённых статьёй 3 Закона.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих правовых основаниях:

пункт 5 части 1 статьи 6 Закона — обработка необходима для исполнения договора, стороной которого является субъект персональных данных: предоставление доступа к Платформе на условиях Условий использования;
пункт 1 части 1 статьи 6 Закона — согласие субъекта персональных данных: направление сообщений рекламного и новостного характера;
статьи 9 и 10 Закона — отдельное согласие субъекта в письменной форме: обработка специальных категорий персональных данных (сведений, характеризующих состояние здоровья), оформленное отдельным документом — Согласие на обработку специальных категорий персональных данных;
пункт 2 части 1 статьи 6 Закона — обработка необходима для исполнения обязанностей, возложенных на оператора законодательством Российской Федерации.

Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей; обработка, несовместимая с целями сбора, не допускается. Обрабатываются только те персональные данные, которые отвечают целям обработки.

4. Цели обработки, категории субъектов и состав персональных данных

4.1. Регистрация и аутентификация пользователя

Категории субъектов: пользователи Платформы.

Персональные данные: адрес электронной почты; имя (отображаемое имя); имя пользователя (никнейм); одноразовые коды подтверждения входа; идентификатор учётной записи; дата и время создания учётной записи и входов; технические сведения об устройстве и версии приложения; токен доверенного устройства (при выборе пользователем опции «запомнить устройство»).

Пароли пользователей оператором не устанавливаются и не хранятся: основной способ входа — одноразовый код, направляемый на адрес электронной почты.

Дополнительно доступен вход через Sign in with Apple и Google, а также привязка этих способов входа к существующей учётной записи. При таком входе или привязке персональные данные поступают оператору от Apple Inc. или Google LLC в объёме: идентификатор пользователя в соответствующем сервисе, имя, адрес электронной почты (если субъект разрешил его передачу). Пароль учётной записи субъекта в этих сервисах оператору не передаётся. При использовании функции Apple «Скрыть e-mail» вместо адреса электронной почты передаётся служебный адрес в домене privaterelay.appleid.com; оператор идентифицирует субъекта по идентификатору Apple и таким адресом не заменяет ранее указанный адрес электронной почты.

Кнопки входа через Apple и Google не отображаются пользователям, обращающимся с IP-адресов, определяемых как относящиеся к Российской Федерации; для них доступен вход по одноразовому коду на адрес электронной почты. Привязка этих способов входа к существующей учётной записи доступна без указанного ограничения.

Для учётных записей, созданных до отключения авторизации через Telegram, сохраняются полученные при такой авторизации сведения (имя, идентификатор пользователя во внешнем сервисе, ссылка на изображение профиля). Новая авторизация этим способом не производится, указанные сведения не используются и удаляются по запросу субъекта.

4.2. Предоставление функциональности Платформы

Категории субъектов: пользователи Платформы.

Персональные данные: сведения о тренировках (вид активности, дата и время, длительность, количество повторов, дистанция, темп, расход энергии, шаги, каденс, сводные показатели частоты сердечных сокращений тренировки); данные о геолокации во время тренировки (маршрут в виде набора географических координат, посещённые ячейки карты исследования); сведения о достижениях, серии тренировок и уровнях; дата рождения и пол; настройки учётной записи; сведения о подписках и взаимных подписках между пользователями; реакции на события ленты активности; данные о тренировках, импортированные из подключённых пользователем сервисов (Apple Health, Strava), включая сведения об устройстве-источнике.

Специальные категории персональных данных (рост, масса тела и история её изменения, частота сердечных сокращений во время тренировок — средняя, максимальная и ряд измерений, поступающая с часов пользователя либо вместе с импортированной тренировкой) обрабатываются исключительно при наличии отдельного согласия субъекта, оформленного в соответствии с разделом 3 настоящей Политики. Состав, цели и порядок отзыва такого согласия определены документом Согласие на обработку специальных категорий персональных данных.

Обработка изображений с камеры устройства при выполнении упражнений со счётом повторов производится полностью на устройстве субъекта: кадры не сохраняются и оператору не передаются. Биометрические персональные данные оператором не обрабатываются.

Частота сердечных сокращений в покое на серверах оператора не хранится и оператору не передаётся.

4.3. Направление сервисных сообщений

Категории субъектов: пользователи Платформы.

Персональные данные: адрес электронной почты; токен push-уведомлений устройства; настройки уведомлений; сведения о факте и результате доставки сообщения.

4.4. Направление сообщений рекламного и новостного характера

Категории субъектов: пользователи Платформы, давшие согласие.

Персональные данные: адрес электронной почты; имя; настройка согласия на получение таких сообщений.

Согласие отзывается в настройках приложения либо по ссылке отказа от рассылки в самом сообщении, без входа в учётную запись.

4.5. Обработка обращений

Категории субъектов: пользователи Платформы, посетители сайта, иные лица, направившие обращение.

Персональные данные: адрес электронной почты; имя; содержание обращения и переписки; идентификатор учётной записи (при наличии).

4.6. Обеспечение работы и безопасности сайта

Категории субъектов: посетители сайта.

Персональные данные: IP-адрес; сведения о браузере и устройстве; дата и время запроса; запрошенные адреса страниц; технические cookie (язык, тема оформления, признак авторизации).

5. Перечень действий с персональными данными и способы обработки

Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение персональных данных.

Обработка осуществляется смешанным способом — как с использованием средств автоматизации, так и без их использования — с передачей данных по сети Интернет.

Распространение персональных данных, то есть их раскрытие неопределённому кругу лиц, оператором не осуществляется. Содержимое профиля пользователя доступно только другим авторизованным пользователям Платформы и в объёме, определяемом настройками приватности профиля, установленными самим пользователем; профили новых учётных записей по умолчанию закрыты.

Решения, порождающие юридические последствия в отношении субъекта или иным образом затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных оператором не принимаются.

Персональные данные лиц, не достигших возраста, установленного Условиями использования, целенаправленно не собираются.

6. Место обработки и трансграничная передача

Обработка и хранение персональных данных, включая их внесение в базы данных, осуществляются на сервере, расположенном на территории Российской Федерации (город Москва) и предоставленном оператору по договору российской хостинг-организацией. Резервные копии баз данных в зашифрованном виде размещаются в объектном хранилище на территории Российской Федерации.

Трансграничная передача персональных данных оператором не осуществляется. При входе через Sign in with Apple и Google (раздел 4.1) персональные данные оператором получаются от указанных сервисов и не передаются им: обмен с этими сервисами ограничен проверкой выданного ими токена или кода авторизации.

Лица, которым поручена обработка персональных данных (раздел 8.1), осуществляют её на территории Российской Федерации. Поставщикам услуг, указанным в разделе 8.2, персональные данные не передаются: им передаются обезличенные технические сведения, которые не сопровождаются именем, адресом электронной почты, идентификатором учётной записи или IP-адресом субъекта, не позволяют определить субъекта персональных данных и в силу статьи 3 Закона персональными данными не являются.

Доставка push-уведомлений на устройства пользователей (раздел 8.3) осуществляется средствами операционных систем Apple и Google и является неустранимым условием работы мобильного приложения.

7. Сроки обработки и порядок уничтожения

Персональные данные обрабатываются в течение срока, необходимого для достижения целей обработки, а именно:

данные, обрабатываемые для целей разделов 4.1–4.3 — в течение срока существования учётной записи;
данные, обрабатываемые на основании согласия (раздел 4.4 и специальные категории персональных данных) — до достижения цели обработки либо до отзыва соответствующего согласия;
данные обращений (раздел 4.5) — в течение одного года с момента завершения переписки;
технические сведения о работе сайта (раздел 4.6) — в течение срока, необходимого для обеспечения безопасности Платформы;
резервные копии — не более 30 дней с момента создания копии, после чего копия удаляется автоматически.

Учётная запись удаляется пользователем самостоятельно в приложении, в разделе настроек профиля; при этом персональные данные, обрабатываемые в связи с учётной записью, уничтожаются без возможности восстановления. Уничтожение по обращению субъекта производится в срок, не превышающий 30 дней с даты поступления обращения (часть 3 статьи 21 Закона). Персональные данные могут сохраняться в резервных копиях до истечения указанного выше срока хранения копий и после уничтожения основной записи не используются.

При отзыве согласия на обработку специальных категорий персональных данных обработка соответствующих данных прекращается, а сами данные удаляются в порядке, установленном Согласием на обработку специальных категорий персональных данных.

8. Поставщики услуг

8.1. Лица, которым поручена обработка персональных данных

Обработка поручена в соответствии с частью 3 статьи 6 Закона на основании договоров, предусматривающих обязанность соблюдать конфиденциальность персональных данных и требования статьи 19 Закона. Все указанные лица осуществляют обработку на территории Российской Федерации:

российская хостинг-организация — предоставление серверных мощностей и услуг связи, размещение базы данных на территории Российской Федерации;
российский провайдер услуг электронной почты (REG.RU) — техническая доставка сообщений электронной почты по адресам, указанным пользователями.

8.2. Поставщики услуг, которым персональные данные не передаются

Указанные лица обработку персональных данных по поручению оператора не осуществляют. Им передаются исключительно сведения, которые не позволяют определить субъекта персональных данных и в силу статьи 3 Закона персональными данными не являются:

PostHog (обработка в регионе Европейского союза) — продуктовая аналитика мобильного приложения; передаются обезличенные технические события без идентификатора учётной записи и без IP-адреса;
OpenAI — формирование текста аналитических отчётов и тренировочных планов; передаются обезличенные числовые агрегированные показатели тренировок и укрупнённые категории без имени, адреса электронной почты и идентификатора учётной записи.

8.3. Доставка push-уведомлений и подтверждение входа

Apple Inc., Google LLC — техническая доставка push-уведомлений на устройства пользователей средствами операционных систем, а также подтверждение личности пользователя при входе через Sign in with Apple и Google (раздел 4.1).

Передача ограничена токеном устройства и текстом уведомления и является неустранимым условием работы мобильного приложения на соответствующих платформах. Получение push-уведомлений отключается в настройках приложения или операционной системы.

Персональные данные третьим лицам для их собственных целей, в том числе в целях маркетинга, оператором не передаются. Продажа персональных данных не производится.

9. Меры по обеспечению безопасности персональных данных

В соответствии со статьями 18.1 и 19 Закона оператором реализованы следующие меры:

издание настоящей Политики и обеспечение неограниченного доступа к ней посредством публикации на сайте;
определение угроз безопасности персональных данных при их обработке и проведение оценки вреда, который может быть причинён субъектам персональных данных;
установление порядка осуществления внутреннего контроля соответствия обработки персональных данных требованиям Закона и проведение такого контроля не реже одного раза в год;
определение перечня обрабатываемых персональных данных и перечня действий с ними, а также ограничение состава обрабатываемых данных необходимым минимумом;
ознакомление лиц, осуществляющих обработку персональных данных, с требованиями Закона и настоящей Политики;
ограничение и учёт доступа к персональным данным: доступ к серверу и базе данных имеет только оператор, с использованием аутентификации по криптографическому ключу;
шифрование трафика между устройствами пользователей и сервером (TLS);
отсутствие хранения паролей пользователей: аутентификация выполняется по одноразовому коду, направляемому на адрес электронной почты;
шифрование резервных копий баз данных и их автоматическое удаление по истечении срока хранения;
регистрация действий с персональными данными в журналах, позволяющая выявить факты несанкционированного доступа;
обеспечение возможности восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа.

Для информационной системы оператора установлен третий уровень защищённости персональных данных в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119. Средства криптографической защиты информации, подлежащие оценке соответствия в установленном порядке, оператором не используются.

10. Права субъекта персональных данных

Субъект персональных данных имеет право:

получать сведения об обработке своих персональных данных в объёме, предусмотренном частью 7 статьи 14 Закона, а также ознакомиться с этими данными;
требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
отозвать согласие на обработку персональных данных;
возражать против направления сообщений рекламного и новостного характера и требовать прекращения такой обработки;
обжаловать действия или бездействие оператора в Роскомнадзор или в судебном порядке.

Обращение направляется на адрес [email protected]. Сведения об обработке персональных данных предоставляются субъекту или его представителю при обращении, содержащем сведения, предусмотренные частью 3 статьи 14 Закона.

Оператор отвечает на обращение в срок, не превышающий 10 рабочих дней с даты его получения; этот срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (части 1 и 2 статьи 20 Закона). При выявлении неправомерной обработки оператор прекращает неправомерную обработку в срок, не превышающий 3 рабочих дней с даты выявления. Уточнение персональных данных производится в срок, не превышающий 7 рабочих дней с даты представления субъектом сведений, подтверждающих их неточность (часть 1 статьи 21 Закона).

11. Актуализация Политики

Оператор вправе вносить изменения в настоящую Политику. Действующая редакция с указанием даты обновления постоянно доступна по адресу wolkup.com/ru/legal/pd-policy. При изменениях, существенно затрагивающих права субъектов персональных данных, оператор уведомляет пользователей в приложении либо по электронной почте.