Політика конфіденційності

1. Загальні положення

Ця Політика конфіденційності (далі — «Політика») регулює порядок збору, обробки, зберігання, використання та захисту персональних даних користувачів фітнес-додатку GrekFit (далі — «Додаток»), який функціонує як Telegram Mini App за адресою appgrekfit.com.

Володільцем (контролером) персональних даних відповідно до Загального регламенту захисту даних ЄС (Регламент (ЄС) 2016/679, далі — «GDPR») та Закону України «Про захист персональних даних» №2297-VI від 01.06.2010 (далі — «ЗУ ПЗД») є:

• Фізична особа-підприємець Грекул Роман Юрійович
• РНОКПП: 3503209173
• Адреса реєстрації: м. Коломия, вул. Шкрумеляка, 41, кв. 4
• Email: grekfit.office@gmail.com
• Telegram: @grekfitcoaching

Використовуючи Додаток, ви підтверджуєте, що прочитали, зрозуміли та погоджуєтесь з умовами цієї Політики. Якщо ви не погоджуєтесь — будь ласка, не використовуйте Додаток.

2. Які дані ми збираємо

2.1. Дані, що надає Telegram автоматично

При запуску Додатку через Telegram Mini App ми отримуємо такі дані з вашого Telegram-акаунту:

• Telegram ID (унікальний числовий ідентифікатор, поле tg_user_id)
• Ім'я та прізвище (як вказано у профілі Telegram)
• Username (за наявності)
• Код мови інтерфейсу
• Фото профілю Telegram (URL до зображення на серверах Telegram — лише якщо ваші налаштування Telegram це дозволяють)

2.2. Дані, які ви вводите особисто

Дані про здоров'я (спеціальні категорії даних за GDPR Art. 9):

• Вага тіла (з історією змін)
• Зріст
• Об'єми тіла: талія, груди, біцепс, % жирової маси
• Стать, вік
• Особисті фітнес-цілі (схуднення, набір маси, сила, форма)
• Рівень фізичної активності (від «sedentary» до «very active»)
• Відповіді на анкету цілей (текст ваших мрій на 1/3/6 років та звички)
• Тренування: виконані вправи, робоча вага, повторення, тривалість, RPE (рівень навантаження), пропущені вправи
• Харчування: назви продуктів, грамаж, калорійність, білки/жири/вуглеводи, час прийому їжі, метод запису (текст / голос / фото у майбутньому)
• Кастомні продукти, які ви додаєте до бази
• Цільова вага, темп прогресу (кг/тиждень)
• Графік тренувальних днів тижня

Інші персональні дані:

• Місто та країна (опційно, можна приховати)
• Звідки ви (місто походження)
• Назва фітнес-залу (опційно)
• Посилання на ваш Instagram (опційно)
• Власне фото профілю — зберігається у Supabase Storage (бакет avatars)

2.3. Дані, що збираються автоматично

• Час останнього входу (поле last_seen_at)
• Журнали помилок без особистих ідентифікаторів
• IP-адреса (тимчасово, для безпеки та виявлення зловживань — обробляється Cloudflare)
• Лічильник тривалості тренування для захисту від накрутки балів GrekScore

2.4. Платіжна інформація (з моменту запуску підписки)

Оплата підписки на клуб здійснюється через зовнішніх платіжних провайдерів (Hutko, Stripe, Telegram Stars тощо). Ми НЕ зберігаємо номери ваших банківських карток, CVV-коди або інші платіжні реквізити. Ми отримуємо від платіжного провайдера лише підтвердження факту оплати та статус транзакції.

3. Спеціальні категорії даних (Art. 9 GDPR)

При першому запуску Додатку вам буде запропоновано надати окрему явну згоду на обробку даних про здоров'я. Без цієї згоди частина функцій Додатку буде недоступна (зокрема — розрахунок КБЖВ, аналітика прогресу, рекомендації щодо тренувань).

Ви маєте право в будь-який момент відкликати цю згоду через налаштування Додатку або шляхом звернення на email, вказаний у п. 1. Відкликання згоди не впливає на законність обробки даних до моменту відкликання.

4. Цілі обробки та правові підстави

Ми обробляємо ваші персональні дані виключно для досягнення таких цілей:

Ціль 1. Надання послуг Додатку

• Що обробляємо: всі категорії даних з п. 2
• Правова підстава: виконання договору (GDPR Art. 6(1)(b)) — публічна оферта про використання Додатку
• Для даних про здоров'я: явна згода (GDPR Art. 9(2)(a))

Ціль 2. Розрахунок КБЖВ та фітнес-рекомендації

• Що обробляємо: вагу, зріст, вік, стать, % жиру, рівень активності, цілі
• Правова підстава: явна згода користувача (GDPR Art. 9(2)(a))
• Як: формула Mifflin-St Jeor → TDEE → goal-specific макроси

Ціль 3. Спільнота та рейтинг клубу

• Що обробляємо: ім'я, фото профілю, місто, GrekScore, серія тренувань, кількість завершених тренувань, Instagram (якщо ви його заповнили)
• Правова підстава: окрема згода користувача (GDPR Art. 6(1)(a))
• Контроль: в налаштуваннях ви можете окремо вимкнути показ міста, Instagram або повністю вийти з лідерборду

Ціль 4. Аналітика та покращення Додатку

• Що обробляємо: знеособлені (анонімізовані) дані використання, технічні журнали
• Правова підстава: законний інтерес контролера (GDPR Art. 6(1)(f))

Ціль 5. Обробка платежів (від моменту запуску)

• Що обробляємо: Telegram ID, факт та сума оплати, підписочний статус
• Правова підстава: виконання договору (GDPR Art. 6(1)(b)) та виконання законодавчого обов'язку (GDPR Art. 6(1)(c)) — податкове та бухгалтерське законодавство України

Ціль 6. AI-обробка голосу та фото їжі (майбутнє)

• Що обробляємо: аудіофайли вашого голосу або фото страв (опційно)
• Правова підстава: окрема явна згода (GDPR Art. 9(2)(a)) при кожному використанні
• Як: Whisper (OpenAI) для голосу, vision-моделі для фото; аудіо/фото видаляються протягом 24 годин після обробки
• Гарантії: ваші голос/фото НЕ використовуються для тренування AI-моделей

5. Хто має доступ до ваших даних

Ми не продаємо ваші персональні дані третім особам. Доступ обмежений:

5.1. Внутрішня команда GrekFit

• Володілець даних — ФОП Грекул Роман Юрійович
• Авторизовані співробітники та технічні партнери (на підставі договорів про нерозголошення)

5.2. Зовнішні обробники (third-party processors)

З усіма обробниками укладаються договори про обробку персональних даних (Data Processing Agreement, DPA), що відповідають вимогам GDPR Art. 28.

5.3. Передача даних за межі ЄС

Деякі з обробників (наприклад, Telegram, AI-провайдери) можуть передавати дані за межі ЄС. У таких випадках застосовуються Standard Contractual Clauses (SCC), затверджені Європейською Комісією, або інші належні гарантії захисту згідно з GDPR Art. 46.

6. Скільки часу ми зберігаємо ваші дані

• Дані активного користувача: протягом усього періоду користування Додатком
• Soft-delete: при видаленні акаунту ваші записи позначаються як видалені (deleted_at), але не одразу стираються — щоб ви могли відновитися протягом 6 місяців
• Hard-delete: через 6 місяців після soft-delete (або негайно за вашим запитом) — фізичне видалення
• Виключення (зберігаються довше):
  • Фінансові документи — 3 роки (податкове законодавство України)
  • Дані для захисту правових інтересів у судових спорах — до 3 років
• Знеособлені аналітичні дані: можуть зберігатися безстроково
• AI-вхідні файли (голос, фото): ≤ 24 години після обробки
• Бекапи БД: point-in-time recovery до 7 днів

7. Ваші права

Відповідно до GDPR та ЗУ «Про захист персональних даних», ви маєте такі права:

• Доступ (Art. 15) — отримати копію ваших даних
• Виправлення (Art. 16) — більшість даних можна виправити самостійно у налаштуваннях
• Видалення / «право бути забутим» (Art. 17) — кнопка «Скинути весь прогрес» у Settings → Небезпечна зона
• Обмеження обробки (Art. 18) — тимчасова зупинка
• Переносимість (Art. 20) — отримати дані в JSON/CSV
• Заперечення (Art. 21) — проти обробки на підставі законного інтересу
• Відкликання згоди (Art. 7(3)) — у будь-який момент
• Скарга в наглядовий орган — Уповноваженому Верховної Ради України з прав людини або до supervisory authority у вашій країні ЄС

Щоб скористатися — напишіть на grekfit.office@gmail.com з вашого Telegram-зареєстрованого акаунту, або зверніться через бот @grek_fit_app_bot. Ми відповімо протягом 30 днів.

8. Безпека даних

• Шифрування у транзиті (TLS 1.3) та at rest (AES-256)
• Row-Level Security (RLS) на всіх таблицях БД — кожен юзер технічно не може прочитати чужі приватні дані
• Авторизація через HMAC-підпис Telegram initData + кастомні JWT-токени (термін дії 7 днів)
• Регулярні бекапи з point-in-time recovery (до 7 днів)
• Обмежений доступ співробітників (принцип мінімальних привілеїв)
• Журналювання доступу до критичних даних
• Захист від DDoS-атак (Cloudflare WAF)
• Anti-cheat для GrekScore — захист від накрутки балів

У разі витоку даних, який може створити високий ризик для ваших прав і свобод, ми повідомимо вас та компетентний наглядовий орган протягом 72 годин з моменту виявлення інциденту (GDPR Art. 33-34).

9. Медичний дисклеймер (короткий)

GrekFit не є медичним додатком. Ми не надаємо медичних послуг, не ставимо діагнози та не призначаємо лікування. Тренувальні програми, рекомендації щодо харчування та розрахунки калорійності мають загальний інформаційно-освітній характер.

Перед початком будь-якої програми тренувань або зміною раціону харчування обов'язково проконсультуйтесь з лікарем. Повний текст — Медичний дисклеймер.

10. Дані неповнолітніх

Додаток призначений виключно для осіб, які досягли 18 років. Ми свідомо не збираємо персональні дані неповнолітніх. Якщо вам стало відомо, що неповнолітня особа надала нам свої дані без згоди батьків — повідомте нас, і ми видалимо такі дані.

11. Файли cookie та локальне сховище

GrekFit працює всередині Telegram і використовує локальне сховище браузера (localStorage) як кеш ваших налаштувань і даних на вашому пристрої. Ці дані не передаються третім особам без вашої згоди. Cookies ми не використовуємо.

12. Зміни до Політики

Ми залишаємо за собою право змінювати цю Політику. Про суттєві зміни ми повідомимо вас через Додаток або в Telegram-каналі клубу не пізніше ніж за 14 днів до набрання змінами чинності. При суттєвих змінах вам буде запропоновано надати нову згоду.

13. Контакти

Email: grekfit.office@gmail.com
Telegram: @grekfitcoaching
Бот: @grek_fit_app_bot
Додаток: appgrekfit.com

Якщо ви вважаєте, що ваші права порушено, ви маєте право звернутися до:

• Уповноваженого Верховної Ради України з прав людини (ombudsman.gov.ua)
• Наглядового органу країни-члена ЄС вашого проживання (для резидентів ЄС)