Политика за поверителност

1. Кои сме ние и какво обхваща тази политика

„ИК Пилатес Студио“ ЕООД („IK Pilates“, „ние“, „нас“ или „наш“) е дружество с ограничена отговорност, учредено съгласно законодателството на Република България, вписано в Търговския регистър и регистъра на юридическите лица с нестопанска цел към Агенцията по вписванията с Единен идентификационен код (ЕИК) 206957098.

Ние сме администратор на вашите лични данни по смисъла на чл. 4, т. 7 от Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните, „ОРЗД“) за цялото обработване, описано в настоящата политика. Данните ни за контакт са посочени в раздел 14.

Настоящата политика се прилага за лични данни, които обработваме, когато посещавате ikpilates.com или ikpilates.bg, създавате профил в платформата IK Pilates, използвате нашите приложения за iOS или Android, посещавате занимания или индивидуални тренировки в българското ни студио, включвате се в списък на чакащи, свързвате се с нас или взаимодействате с нас по друг начин като клиент, потенциален клиент, инструктор или служител.

Дейността ни в Украйна се осъществява от отделно юридическо лице, което действа като самостоятелен администратор за данните, събирани в Украйна, и прилага украинското законодателство за защита на данните. Ако сте клиент на студиата ни в Харков, за вас се прилага украинската версия на настоящата политика. Когато се намирате в Европейското икономическо пространство, настоящата политика и ОРЗД се прилагат независимо от това кое студио посещавате.

2. Правна рамка

Обработваме лични данни в съответствие с ОРЗД, Закона за защита на личните данни, Закона за електронната търговия, Закона за защита на потребителите и секторните правила за счетоводна и данъчна отчетност, описани в раздел 9.

3. Категории лични данни, които обработваме

Събираме само данните, необходими за управлението на пилатес студио и на платформата, която го поддържа. Не купуваме лични данни от брокери на данни и не изграждаме рекламни профили.

Данни за самоличност и контакт. Собствено име, фамилия, име за показване, имейл адрес, телефонен номер в международен формат, предпочитани език и държава, както и вътрешният идентификатор, който ви присвояваме (IK Global ID).

Данни за профила и удостоверяването. Идентификационни данни за парола, съхранявани в хеширан вид от доставчика ни на удостоверяване, удостоверителни токени, списък на активните сесии и устройства, свързани с профила ви, тип на устройството, версия на приложението, приблизително местоположение, изведено от IP адреса ви на ниво държава, както и датата и часът на всяко влизане.

Данни за резервации и посещаемост. Заниманията и индивидуалните тренировки, които резервирате, съответното студио, зала и инструктор, статусът на резервацията, включително отмени, пренасрочвания, позиция в списъка на чакащите и неявявания, поканите, които изпращате или получавате, и историята на заниманията ви.

Данни от въвеждащия процес и предпочитания. Вашите цели в тренировките, ниво на опит, предпочитани часове за занимания, предпочитани канали за връзка, как сте научили за нас, предпочитани мерни единици и настройки за известия.

Здравни данни. Когато решите да ги предоставите: бременност, травми, медицински състояния и физически ограничения, относими към безопасната практика. В мобилните ни приложения и само ако дадете разрешение поотделно за всяка категория: сърдечна честота, вариабилност на сърдечния ритъм, сън, тегло, възстановяване, крачки, активна енергия, минути на осъзнатост и записи за тренировки, прочетени от Apple Health или Google Health Connect. Здравните данни се третират като специална категория лични данни по чл. 9 от ОРЗД и подлежат на допълнителните гаранции в раздел 5.

Данни за плащания и фактуриране. Основанието и размерът на получените банкови преводи, данни за фактуриране, когато се иска фактура, и записът на плащанията, извършени в студиото. Не извършваме онлайн картови плащания и не получаваме и не съхраняваме номера на карти.

Комуникационни данни. Съобщенията, които ни изпращате чрез формата за контакт, по имейл или по телефон, транзакционните имейли, които ви изпращаме, и статусът на доставката им, предпочитанията за push известия и дневниците за доставка, както и всяка кореспонденция по жалби или спорове.

Технически данни и данни за сигурността. IP адрес, съхраняван в хеширан вид със секретен ключ, потребителски агент, записи за събития по сигурността и одитни записи, резултати от проверките срещу злоупотреби и диагностика на грешки.

Данни за ползване на уебсайта. Обобщено измерване на прегледаните страници без бисквитки, както е описано в нашата Политика за бисквитките.

4. Цели на обработването и правни основания

Позоваваме се на следните правни основания по чл. 6, параграф 1 от ОРЗД.

Изпълнение на договор, чл. 6, параграф 1, буква б). Създаване и администриране на профила ви, приемане и потвърждаване на резервации, управление на списъци на чакащи, пренасрочвания и отмени, провеждане на занимания и индивидуални тренировки, издаване на фактури и обработване на плащания, както и предоставяне на съдействие на клиенти.

Спазване на законово задължение, чл. 6, параграф 1, буква в). Водене на счетоводна и данъчна отчетност, отговаряне на законосъобразни искания на компетентни органи и разглеждане на искания и жалби на субекти на данни.

Легитимни интереси, чл. 6, параграф 1, буква е). Защита на платформата ни срещу неоторизиран достъп, измами и злоупотреби, поддържане на одитни следи, предотвратяване на повтарящи се неявявания, обобщено измерване на производителността на уебсайта, подобряване на услугите ни, защита на правни претенции и вътрешно управление на студиата ни. Когато се позоваваме на легитимни интереси, сме извършили преценка на баланса; можете да поискате обобщение от нея и имате право на възражение съгласно раздел 10.

Съгласие, чл. 6, параграф 1, буква а) и чл. 9, параграф 2, буква а). Обработване на здравни данни, изпращане на маркетингови съобщения, съхраняване на бисквитки, които не са строго необходими, изпращане на push известия и прочитане на данни от Apple Health или Google Health Connect. Съгласието винаги е конкретно, детайлизирано и свободно дадено и можете да го оттеглите по всяко време, без това да засяга законосъобразността на обработването преди оттеглянето.

Жизненоважни интереси, чл. 6, параграф 1, буква г) и чл. 9, параграф 2, буква в). При спешен медицински случай в студиото – разкриване на относима здравна информация на спешните служби.

5. Здравни данни и допълнителни гаранции

Здравни данни никога не се изискват, за да разглеждате уебсайта ни или да имате профил. Можете да ползвате платформата пълноценно, без да предоставяте каквато и да е здравна информация; когато откажете здравна функция, съответният екран просто показва празното си състояние.

Когато все пак предоставите здравни данни, прилагаме следните гаранции. Чувствителните полета, включително статус на бременност и записи за травми, се криптират при съхранение на ниво колона чрез симетрично PGP криптиране с ключ, изведен поотделно за всеки потребител, така че една компрометирана стойност да не разкрива данни на други клиенти. Съгласието се записва по категории и се прилага на сървъра, така че оттеглянето на съгласие за една категория никога не засяга друга. Здравните данни се използват единствено за да направят практиката ви безопасна и за да поддържат функции, които сте поискали. Те никога не се използват за реклама, не се продават, не се споделят с брокери на данни и не се използват за проследяване между приложения или уебсайтове.

Когато качеството ви на клиент отпадне, криптираните здравни полета се планират за заличаване и се нулират автоматично след гратисен период от тридесет дни, с одитен запис за заличаването.

Само инструкторите и служителите на студиото, на които това е необходимо, за да наблюдават заниманието ви, могат да виждат здравната информация, която сте избрали да споделите, и то само във вид, ограничен до необходимото за безопасно обучение.

6. Получатели и обработващи лични данни

Не продаваме лични данни. Споделяме ги само със следните категории получатели.

Нашите инструктори и служители на студиото, при договорни задължения за поверителност и на принципа „необходимост да се знае“.

Доставчици на услуги, действащи като обработващи лични данни по наши документирани указания въз основа на договори по чл. 28 от ОРЗД. Към датата на настоящата политика това са:

Supabase – удостоверяване, база данни и услуги в реално време, хостинг в регион Европейски съюз Railway – хостинг на приложението за нашите сървърни интерфейси Vercel – хостинг и обобщен анализ без бисквитки за нашия уебсайт Resend – доставяне на транзакционна електронна поща Google (Firebase Cloud Messaging) – доставяне на push известия до устройства с Android и iOS Google (Sheets API) – импорт само за четене на заварени графици на студиото Cloudflare – защита на формата ни за контакт срещу автоматизирани злоупотреби Apple – доставяне на push известия до устройства с iOS

Актуален списък на обработващите лични данни, включително ролите и местоположенията им, се поддържа в нашата Бяла книга за GDPR и е достъпен при поискване.

Професионални консултанти, включително счетоводители, одитори и юристи, при необходимост и при спазване на професионална тайна.

Публични органи и съдилища, когато сме задължени по закон да разкрием данни или когато разкриването е необходимо за установяване, упражняване или защита на правни претенции.

Приобретател или правоприемник, в случай на сливане, придобиване или преобразуване, при същите гаранции като предвидените в настоящата политика.

7. Международни предавания

Основните ни хранилища за данни се намират в Европейското икономическо пространство. Някои обработващи лични данни, по-специално тези, които осигуряват доставяне на push известия и електронна поща, могат да обработват ограничени данни извън ЕИП.

Когато се извършва такова предаване, се позоваваме на една от гаранциите, допустими съгласно глава V от ОРЗД: решение на Европейската комисия относно адекватното ниво на защита по чл. 45 или Стандартни договорни клаузи, приети от Европейската комисия по чл. 46, параграф 2, буква в), заедно с оценка на въздействието на предаването и, когато е уместно, допълнителни технически мерки като криптиране при пренос и при съхранение.

Можете да получите копие от гаранциите, приложими към конкретно предаване, като се свържете с нас.

8. Автоматизирано вземане на решения и профилиране

Не извършваме автоматизирано вземане на решения, което поражда правни последици за вас или ви засяга по подобен начин в значителна степен по смисъла на чл. 22 от ОРЗД.

Някои функции подреждат или филтрират информация автоматично, например позицията в списъка на чакащите според момента на заявката или предлагането на свободни часове. Тези операции не оценяват личните ви характеристики и не пораждат правни или подобни значителни последици.

9. Срокове на съхранение

Съхраняваме лични данни само толкова дълго, колкото е необходимо за целите, за които са събрани, след което ги изтриваме или необратимо анонимизираме.

Данни за профил и лични данни от профила – за срока на съществуване на профила ви, след което се заличават при изтриване, при спазване на правилото за надгробен запис по-долу Записи за резервации и посещаемост – 5 години от края на календарната година, в която е предоставена услугата, за счетоводни и давностни цели Фактури и първични счетоводни документи – 5 години от 1 януари на годината, следваща отчетния период, съгласно Закона за счетоводството Ведомости за заплати и осигурителни документи – 50 години, съгласно българското законодателство Здравни данни – за срока на клиентското ви правоотношение, след което се нулират 30 дни след прекратяването му Кореспонденция от формата за контакт и запитвания – 2 години от последната размяна Дневници за доставка на известия – 1 година Записи за сигурност и одит – 2 години Записи за отменени сесии – 90 дни Запис за съгласие за бисквитки – 12 месеца Неактивни профили – отбелязват се след 24 месеца без активност и подлежат на изтриване след предизвестие

Когато поискате изтриване на профила си, го поставяме в тридесетдневен гратисен период, през който можете да оттеглите искането. След този период всички изцяло лични записи се заличават. Оперативните записи, които сме длъжни да пазим, като резервации и счетоводни записи, се съхраняват без идентифициращи данни: записът за самоличността ви се свежда до надгробен запис без лични данни, което псевдонимизира всеки останал запис, който препраща към него.

10. Вашите права

Съгласно чл. 15 – 22 от ОРЗД имате следните права, безплатно и без ненужно забавяне.

Достъп. Да получите потвърждение дали обработваме ваши данни, копие от тях и информация за обработването.

Коригиране. Неточни данни да бъдат поправени, а непълни – допълнени.

Изтриване. Данните ви да бъдат заличени, когато е налице някое от основанията по чл. 17. Това право не обхваща данни, които сме длъжни да пазим за спазване на законово задължение или за защита на правни претенции.

Ограничаване. Да изискате да ограничим обработването, докато се разреши спор относно точността или законосъобразността.

Преносимост. Да получите предоставените от вас данни в структуриран, широко използван и машинно четим формат и те да бъдат предадени на друг администратор, когато това е технически осъществимо.

Възражение. Да възразите по всяко време, на основания, свързани с вашата конкретна ситуация, срещу обработване, основано на легитимните ни интереси. Когато възразите срещу директен маркетинг, ще преустановим незабавно и безусловно.

Оттегляне на съгласие. Да оттеглите дадено съгласие по всяко време чрез съответната настройка в профила си или като се свържете с нас.

Да не бъдете обект на автоматизирани решения. Както е описано в раздел 8, ние не вземаме такива решения.

Жалба. Да подадете жалба до надзорен орган, както е посочено в раздел 15.

11. Как да упражните правата си

Повечето права могат да бъдат упражнени директно в профила ви. Профилът и предпочитанията ви могат да се преглеждат и редактират по всяко време; активните сесии и устройства могат да се преглеждат и отменят поотделно; съгласията за известия и здравни данни могат да се дават или оттеглят по категории; а изтриването на профила заедно с изтегляемо копие на данните ви може да се заяви от настройките на профила.

Като алтернатива ни пишете на данните в раздел 14. Ще отговорим в срок от един месец от получаването. Този срок може да бъде удължен с още два месеца, когато искането е сложно или сме получили голям брой искания, като в такъв случай ще ви уведомим в рамките на първия месец и ще обясним причината. Може да поискаме информация, разумно необходима за потвърждаване на самоличността ви, преди да предприемем действия по дадено искане.

12. Сигурност

Прилагаме технически и организационни мерки, съответстващи на риска, в съответствие с чл. 32 от ОРЗД. Те включват криптиране на всички данни при пренос чрез TLS, криптиране при съхранение на ниво колона за чувствителни здравни полета, извеждане на ключове поотделно за всеки потребител, сигурност на ниво ред в базата ни данни, асиметрично подписване на удостоверителни токени с кратък срок на валидност, списък за отмяна на сесии, хеширане на IP адреси със секретна добавка, ролеви контрол на достъпа с най-малки необходими права, одитно записване на привилегировани операции, политика за сигурност на съдържанието в уеб ресурсите ни и редовен преглед на зависимостите и правата за достъп.

При нарушение на сигурността на личните данни, което е вероятно да породи риск за вашите права и свободи, ще уведомим Комисията за защита на личните данни без ненужно забавяне и когато е осъществимо, не по-късно от 72 часа след узнаването. Когато нарушението е вероятно да породи висок риск за вас, ще ви уведомим и директно, без ненужно забавяне.

13. Деца

Услугите ни са насочени към пълнолетни лица. Не събираме съзнателно лични данни на деца под 14 години без съгласието на носителя на родителската отговорност, в съответствие със Закона за защита на личните данни.

Когато непълнолетно лице посещава занимания, профилът трябва да бъде създаден и управляван от родител или настойник, който предоставя и здравната информация от негово име. Ако узнаем, че сме събрали данни на дете без необходимото разрешение, ще ги изтрием своевременно.

14. Данни за контакт

„ИК Пилатес Студио“ ЕООД ЕИК: 206957098 Седалище и адрес на управление: ул. „Ралевица“ 74, 1618 София, България Студио: ул. „Ралевица“ 74, Манастирски ливади, 1618 София, България Имейл: studio@ikpilates.com Запитвания относно защита на данните: privacy@ikpilates.com Телефон: +359 888 038 121 Уебсайт: ikpilates.com и ikpilates.bg

Преценили сме обработването си спрямо чл. 37, параграф 1 от ОРЗД и не сме определили длъжностно лице по защита на данните, на основание че обработването ни на здравни данни не представлява мащабно обработване по смисъла на посочената разпоредба. Тази преценка е документирана и се преразглежда ежегодно. Отговорността по въпросите на защитата на данните е на управлението на дружеството, а посочените по-горе адреси могат да се използват за всички такива въпроси.

15. Надзорен орган

Ако считате, че обработването на личните ви данни от наша страна нарушава ОРЗД, имате право да подадете жалба до българския надзорен орган, без това да засяга други административни или съдебни средства за защита.

Комисия за защита на личните данни Адрес: бул. „Проф. Цветан Лазаров“ 2, 1592 София, България Телефон: +359 2 915 3518 Имейл: kzld@cpdp.bg Уебсайт: www.cpdp.bg

Ако обичайното ви местопребиваване е в друга държава – членка на Европейския съюз, можете да подадете жалбата си до надзорния орган на тази държава.

16. Промени в настоящата политика

Преглеждаме настоящата политика поне веднъж годишно и винаги когато обработването ни се промени съществено.

Когато дадена промяна засяга съществено правата ви, ще уведомим регистрираните потребители по имейл или чрез известие в приложението поне четиринадесет дни преди тя да влезе в сила. Номерът на версията и датата на влизане в сила в началото на този документ определят приложимия текст. Предишните версии се съхраняват и са достъпни при поискване.