Политика обработки персональных данных

English version

Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки и защиты персональных данных (далее — ПДн) пользователей сервиса Pacero — сайта pacero.ru, Telegram-бота @pacero_bot и мобильных приложений Pacero для iOS и Android.

1.Оператор персональных данных

Оператор ПДн — ИП Безаев Роман Алексеевич, ИНН 525610246441. Для обращений по вопросам обработки ПДн:  r.bezaev@gmail.com.

2.Какие данные обрабатываются

Оператор обрабатывает следующие категории данных пользователей:

• Данные Telegram-аккаунта: user_id, username, имя, указанные пользователем при регистрации в боте @pacero_bot (получаются автоматически при нажатии /start);
• Данные для составления плана: выбранный забег, целевая дистанция, целевое время, текущий темп, ответы на вопросы анкеты (возраст, опыт бега, график тренировок, недельный километраж);
• Данные о тренировках из Garmin Connect — только если пользователь самостоятельно подключил сервис: дистанция, темп, ЧСС, длительность и тип тренировки;
• Данные о тренировках с других устройств, включая Apple Watch — если пользователь передаёт их в сервис сам: дистанция, длительность, время начала и пульс (средний и максимальный);
• Данные о тренировках из Apple Health (HealthKit, iOS) — только если пользователь установил приложение Pacero для iOS и дал доступ к данным о здоровье. На сервер Pacero передаются показатели завершённых пробежек: дистанция, длительность, время начала, тип активности, источник, признак помещения, набор высоты, активные калории и доступные средний и максимальный пульс. Для новых пробежек к ним добавляются средний каденс, диапазон пульса и раскладка по полным километрам: время, средний пульс и каденс каждого километра. Каденс считается на устройстве по шагам за время пробежки. При первом подключении берётся история за год для оценки беговой формы и предзаполнения анкеты, дальше — новые пробежки. Синхронизация идёт автоматически, в том числе в фоновом режиме, пока доступ не отозван. Маршрут и остальные измерения тренировки — ряды пульса, дистанции и шагов, мощность, длина шага, время контакта с землёй, вертикальные колебания — читаются на устройстве для карты, графиков и карточки пробежки и на сервер Pacero не передаются. Эти данные используются исключительно для составления и корректировки плана тренировок: они не используются в рекламе и не хранятся в iCloud. Третьим лицам они не передаются, за исключением поставщика языковой модели, который получает показатели выполненных тренировок в обезличенной форме для корректировки плана (раздел 6). Отключить синхронизацию можно в настройках приложения или в настройках iOS; при отключении и при выходе из аккаунта локальная очередь и доступ к данным удаляются.
• Данные о тренировках из Health Connect (Android) — только если пользователь установил приложение Pacero для Android и разрешил доступ в Health Connect. С разрешения пользователя приложение читает беговые тренировки (сеансы упражнений), дистанцию, пульс, шаги, скорость, мощность, активные калории, набор высоты и маршруты тренировок; маршрут читается только с отдельного согласия. Отдельные разрешения Health Connect позволяют читать данные в фоновом режиме, чтобы новые пробежки попадали в план без открытия приложения, и историю старше 30 дней: при первом подключении берётся история пробежек до года для оценки беговой формы и предзаполнения анкеты. На сервер Pacero передаются только итоговые показатели каждой пробежки: дата и время начала, дистанция, длительность, средний и максимальный пульс, активные калории, набор высоты, признак тренировки в помещении и приложение-источник записи. Для новых пробежек к ним добавляются средний каденс, диапазон пульса и раскладка по полным километрам: время, средний пульс и каденс каждого километра. Каденс считается на устройстве по шагам за время пробежки. Эти показатели нужны, чтобы учитывать тренировки в плане и прогнозе. Маршрут и остальные измерения тренировки — ряды пульса, скорости, мощности и шагов — читаются на устройстве для карты, графиков и карточки пробежки и на сервер Pacero не передаются. Третьим лицам данные из Health Connect не передаются, за исключением поставщиков языковой модели, которые получают показатели выполненных тренировок в обезличенной форме для составления и корректировки плана (раздел 6). Отключить синхронизацию можно в профиле приложения — тогда Pacero удаляет с сервера сводку истории, полученную из Health Connect, — или отозвать разрешения в настройках Health Connect. Пробежки, уже засчитанные в план, остаются в его отчётах до удаления аккаунта. Pacero только читает данные Health Connect и ничего в него не записывает;
• Изображения, загруженные пользователем — скриншоты итогов тренировки из стороннего трекера, которые пользователь отправляет боту @pacero_bot или прикладывает в приложении Pacero для iOS или Android, чтобы сервис распознал показатели (дистанция, время, темп, пульс, каденс). Изображение передаётся поставщику языковой модели с поддержкой распознавания изображений (раздел 6) и не сохраняется Оператором — ни в базе данных, ни в файловом хранилище. В сервисе остаются только числовые показатели тренировки, которые пользователь подтвердил. Если скриншот отправлен боту, копия изображения остаётся в переписке на стороне Telegram;
• Геопозиция для погоды: при разрешённом доступе к геопозиции приложение для iOS и Android автоматически запрашивает прогноз рядом с пользователем; для этого достаточно приблизительной геопозиции. Она округляется на устройстве и сервере и передаётся через Pacero в MET Norway без данных аккаунта. Координаты не сохраняются в профиле или базе данных; прогноз временно кэшируется. Погоду можно отключить в приложении, а доступ к геопозиции — в настройках iOS или Android.
• Запись пробежки по GPS: геопозиция используется на устройстве для измерения дистанции и темпа после нажатия «Начать пробежку», в том числе при заблокированном экране. На Android на время записи запускается служба с постоянным уведомлением: она стартует только по нажатию «Начать пробежку» и останавливается с её завершением; доступ к геопозиции в фоне вне записи приложение не запрашивает. Маршрут сохраняется локально для карты и карточки пробежки. В отчёт Pacero передаются итоговые показатели пробежки — дистанция, время и темп по отрезкам, — без точных координат маршрута. Загрузка погоды не запускает запись пробежки.
• Карта маршрута: на iOS карта строится Apple MapKit на картах Apple, на Android — библиотекой MapLibre на картах OpenFreeMap (tiles.openfreemap.org). Фрагменты карты устройство загружает напрямую у сервиса карт: он видит IP-адрес устройства и запрошенный участок карты, но не трек и не аккаунт Pacero. Трек не отправляется ни на сервер Pacero, ни сервису карт; снимок карты для карточки пробежки создаётся на устройстве.
• Переписка с тренером: текст вопроса, история разговора, беговые данные анкеты, доступный план, показатели и разборы тренировок передаются OpenAI для персонального ответа. Приложение запрашивает явное разрешение на передачу данных в OpenAI до открытия AI-функций. История чата сохраняется локально в приложении для текущего аккаунта; тексты сообщений не записываются в серверные логи.
• Фото для карточки пробежки: выбранная фотография или снимок камеры обрабатываются на устройстве для оформления карточки. Они не передаются в Pacero или OpenAI. Сохранение в галерею («Фото» на iOS) и передача через системное меню выполняются по действию пользователя.
• E-mail — пользователь указывает адрес при оплате или передаёт его через сервис входа. При оплате: адрес нужен, чтобы на него пришёл кассовый чек. При входе через Sign in with Apple адрес приходит от Apple в подписанном токене, если пользователь разрешил его передать; Apple позволяет вместо настоящего адреса передать пересылающий (@privaterelay.appleid.com), и тогда Оператор получает только его. При входе через Google Оператор получает адрес из подписанного Google токена только при подтверждении Google, что адрес проверен. При входе через Яндекс ID Оператор получает основной адрес из профиля Яндекса, если пользователь разрешил доступ к нему. Адрес используется для чека и восстановления доступа к аккаунту, рассылки на него не отправляются;
• Имя — если пользователь разрешил передать его при входе через Sign in with Apple или оно есть в профиле Google, а также если пользователь сам указал в профиле приложения, как к нему обращаться. Имя используется только для обращения к пользователю в приложении; его можно изменить или удалить в профиле;
• Идентификатор Apple ID — при входе через Sign in with Apple. Это не сам Apple ID, а постоянный идентификатор, который Apple выдаёт отдельно для каждого приложения: по нему Оператор узнаёт вернувшегося пользователя и не может сопоставить его с аккаунтом в других сервисах;
• Идентификатор Google-аккаунта — при входе через Google Оператор получает постоянный идентификатор аккаунта и использует его для входа в Pacero. Пароль Google Оператор не получает;
• Идентификатор Яндекс ID — при входе через Яндекс ID в приложении для Android Оператор получает постоянный идентификатор аккаунта Яндекса и использует его для входа в Pacero. Пароль Яндекса Оператор не получает. Совпадение почты в Apple, Google и Яндексе не объединяет аккаунты Pacero автоматически;
• Данные о покупке — идентификатор транзакции, приобретённый продукт, сумма, валюта и дата. При оплате в App Store приложение передаёт Оператору подписанную Apple транзакцию: доступ открывает сервер Оператора, а не приложение на устройстве. В приложении для Android покупка оплачивается через ЮKassa, платёжная система Google Play не используется;
• Технические данные: метки времени обращений к боту, идентификаторы сообщений и сессий, для сессий приложения — платформа (iOS или Android) и версия приложения.

Платёжные реквизиты (номера карт, CVV/CVC, сроки действия) Оператором не обрабатываются и не хранятся. Приём платежей полностью осуществляется на стороне платёжного сервиса ЮKassa (ООО НКО «ЮMoney», ИНН 7750005725), в том числе в приложении Pacero для Android, а для покупок через App Store в приложении Pacero для iOS — на стороне Apple.

3.Цели обработки

• оказание услуги — составление и еженедельная корректировка персонального плана подготовки;
• распознавание загруженных пользователем скриншотов тренировок — чтобы заполнить отчёт о тренировке без ручного ввода цифр;
• коммуникация с пользователем в Telegram-боте: уточняющие вопросы, напоминания, сервисные сообщения;
• ведение бухгалтерского и налогового учёта (формирование кассовых чеков);
• обеспечение работоспособности сервиса, диагностика инцидентов, защита от злоупотреблений;
• обезличенная статистика использования сервиса для улучшения продукта.

4.Правовые основания обработки

• согласие субъекта ПДн — п. 1 ч. 1 ст. 6 152-ФЗ (выражается действиями пользователя: стартом бота, входом в приложение, заполнением анкеты, оплатой, а для данных о тренировках и геопозиции — предоставлением доступа к ним в системном запросе iOS, Android или Health Connect);
• необходимость исполнения договора, стороной которого является субъект ПДн — публичной оферты, размещённой по адресу pacero.ru/oferta;
• исполнение обязанностей, возложенных законодательством РФ о налогах и сборах и о бухгалтерском учёте.

Сервис предназначен для лиц от 16 лет. Анкету с возрастом младше 16 лет он не принимает.

5.Срок хранения данных

5.1. Персональные данные пользователя хранятся Оператором в течение всего срока оказания услуги и дополнительно в течение трёх (3) лет с момента окончания услуги — в пределах срока исковой давности по Гражданскому кодексу РФ.

5.2. Фискальные данные (чеки, информация о платежах) хранятся в течение срока, установленного налоговым законодательством РФ.

5.3. Пользователь в любой момент вправе направить запрос на удаление своих данных в порядке раздела 8 настоящей Политики.

6.Передача третьим лицам

6.1. Оператор передаёт данные пользователей только тем третьим лицам, которые необходимы для оказания услуги, и только в объёме, достаточном для выполнения их функций:

• Telegram — мессенджер, через который оказывается услуга (обмен сообщениями с ботом);
• ЮKassa (ООО НКО «ЮMoney», ИНН 7750005725) — приём платежей и формирование чеков;
• Apple — вход через Sign in with Apple и приём оплаты в App Store для пользователей приложения Pacero для iOS. При такой покупке продавцом выступает Apple: платёжные реквизиты принимает она, Оператор получает только подписанное подтверждение состоявшейся транзакции. Обработка данных на стороне Apple определяется её собственной политикой конфиденциальности;
• Google — вход через Sign in with Google в приложениях для iOS и Android. Приложение использует официальный Google SDK; Оператор проверяет подписанный токен Google и создаёт сессию Pacero. Доступ к почте Gmail, контактам и Google Drive не запрашивается. Обработка данных на стороне Google определяется её собственной политикой конфиденциальности;
• Яндекс — вход через Яндекс ID в приложении для Android. Приложение использует официальный Yandex LoginSDK; Оператор проверяет полученный токен через сервис Яндекс ID и создаёт сессию Pacero. Запрашиваются только идентификатор аккаунта и адрес почты, доступ к Яндекс Почте, Диску и другим сервисам не запрашивается. Обработка данных на стороне Яндекса определяется его собственной политикой конфиденциальности;
• Garmin Connect — только по инициативе пользователя, подключившего сервис для передачи данных о тренировках в бота;
• OpenAI — обработка запросов к языковой модели. Первая — генерация и корректировка плана тренировок: передаются параметры подготовки и показатели выполненных тренировок в обезличенной форме, без имени, username, user_id и e-mail. Вторая — распознавание скриншотов тренировок: модели нужен сам кадр, поэтому изображение передаётся целиком и обезличить его Оператор не может; идентификаторы пользователя вместе с изображением не передаются, а сам файл Оператором не сохраняется;
• xAI через OpenRouter — резервная генерация плана: если OpenAI не отвечает или отвечает слишком долго, запрос на генерацию плана тренировок передаётся резервной языковой модели xAI через платформу OpenRouter. Состав данных тот же, что и для OpenAI: параметры подготовки в обезличенной форме, без имени, username, user_id и e-mail. Скриншоты, переписка с тренером и разборы тренировок резервному провайдеру не передаются;
• OpenAI — чат тренера: получает вопрос, историю и беговой контекст, описанные в разделе 2. Pacero не добавляет идентификатор аккаунта, имя или e-mail в контекст; сведения, которые пользователь сам написал в свободном тексте, передаются как часть сообщения.
• MET Norway (Норвежский метеорологический институт) — получает округлённые координаты для прогноза погоды, без имени, e-mail и идентификатора аккаунта Pacero.
• OpenFreeMap — картографическая подложка в приложении для Android: получает от устройства IP-адрес и запрошенный участок карты, без трека и данных аккаунта Pacero;
• Хостинг-провайдер — размещение серверной части сервиса (VPS на территории РФ).

6.2. Оператор не продаёт персональные данные пользователей и не передаёт их для маркетинга третьих лиц.

6.3. Данные о тренировках и здоровье из Apple Health и Health Connect используются только для функций тренировочного плана: учёта пробежек, составления и корректировки плана, прогноза результата, разборов тренировок и ответов тренера в чате. Эти данные не продаются, не передаются третьим лицам для рекламы — рекламным платформам, брокерам данных и иным посредникам, — не используются для показа рекламы, в том числе персонализированной, и для решений о кредитовании, страховании или трудоустройстве. Рекламы в приложениях Pacero нет. Использование данных, полученных из Health Connect, соответствует политике разрешений Health Connect, включая требования об ограниченном использовании (Limited Use).

6.4. Расчёт до входа в аккаунт. Приложение для iOS и Android при первом запуске, с вашего разрешения, читает тренировки из Apple Health или Health Connect и разбирает их на устройстве. Для расчёта беговой формы и прогноза на сервер Pacero до входа уходят только обобщённые показатели: объём бега в неделю, самая длинная пробежка, лучшие результаты на стандартных дистанциях с датами, опыт и возраст, если вы его указали, а также выбранные вами дистанция и дата забега. Сервер не сохраняет эти данные и не связывает их с аккаунтом. Список тренировок, пульс, маршруты и пол до входа не передаются. Дату рождения и пол из Apple Health приложение не читает.

Кроме того, приложение отправляет события экранов онбординга (какой экран открыт, какое действие выбрано) с анонимным идентификатором установки. Они хранятся для статистики воронки, после входа связываются с аккаунтом, а при удалении аккаунта идентификатор установки из этих событий удаляется.

7.Права субъекта персональных данных

Пользователь имеет право:

• получать от Оператора информацию, касающуюся обработки его ПДн;
• требовать уточнения, блокирования или уничтожения своих ПДн в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку ПДн в любое время;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

8.Отзыв согласия и удаление данных

8.1. Пользователь приложения Pacero для iOS или Android может удалить аккаунт сам: вкладка «Профиль» → «Удалить аккаунт» → подтверждение. Аккаунт и связанные с ним данные удаляются сразу. Сохраняются только данные, которые Оператор обязан хранить в силу требований законодательства (п. 5.2 настоящей Политики), и служебные сведения, перечисленные на странице pacero.ru/delete-account, на указанные там сроки. Там же — пошаговая инструкция и порядок запроса удаления без приложения.

8.2. Для отзыва согласия на обработку ПДн и запроса удаления данных пользователь направляет письмо на адрес r.bezaev@gmail.com с темой «Отзыв согласия на обработку ПДн» или «Удаление аккаунта Pacero».

8.3. В письме необходимо указать e-mail, с которым пользователь входит в приложение через Google, Яндекс ID или Apple, Telegram username или e-mail, с которого производилась оплата — для идентификации пользователя.

8.4. Оператор удаляет данные пользователя в течение 30 календарных дней с момента получения запроса, за исключением данных, которые Оператор обязан хранить в силу требований законодательства (п. 5.2 настоящей Политики).

9.Трансграничная передача данных

9.1. Серверная часть сервиса и база данных Оператора размещены на территории Российской Федерации.

9.2. Часть данных передаётся третьим лицам, указанным в разделе 6, инфраструктура которых расположена за пределами Российской Федерации. Это трансграничная передача, и она затрагивает:

• обезличенные параметры подготовки и показатели выполненных тренировок — передаются поставщику языковой модели для генерации и корректировки плана;
• загруженные пользователем скриншоты тренировок — передаются поставщику языковой модели для распознавания показателей;
• сообщения пользователя и данные его Telegram-аккаунта — обмен с ботом идёт в инфраструктуре Telegram;
• округлённые координаты для прогноза погоды — MET Norway; IP-адрес устройства и запрошенный участок карты — OpenFreeMap (приложение для Android).

9.3. Загрузка скриншота — добровольное действие пользователя. Показатели тренировки можно внести вручную, тогда изображение никуда не передаётся.

9.4. Передача данных в Garmin Connect происходит исключительно по инициативе и с прямого согласия пользователя, который самостоятельно подключает этот сервис к своему аккаунту в боте.

10.Меры защиты

Оператор применяет следующие меры для защиты ПДн:

• передача данных по защищённым каналам связи (TLS/HTTPS);
• ограничение доступа к данным — только Оператор имеет административный доступ;
• шифрование секретов (токены API, ключи доступа) на сервере;
• регулярное резервное копирование с контролируемым доступом.

11.Контакты

По любым вопросам, касающимся обработки персональных данных, пользователь может обратиться к Оператору по адресу r.bezaev@gmail.com.