Политика конфиденциальности

1. Кто управляет данными

Оператор данных — владелец RunFamilyRun, Егор Ручников (RunFamilyRun). Контакт: privacy@runfamilyrun.com.

2. Какие данные мы собираем

• Данные аккаунта: email, хеш пароля и сессии, обрабатываемые нашим провайдером аутентификации.
• Профиль: имя, отображаемое имя, аватар, язык, часовой пояс, страна, пол, дата рождения, телефон, рост и вес.
• Тренировочные данные: установленные программы, запланированные тренировки, их структура, результаты, подходы, личные рекорды и загруженные фото прогресса.
• Данные тренерской работы: связи «тренер — спортсмен», переписка с тренером, изменения тренировок тренером.
• Данные о покупках/доступе: идентификаторы заказов и email, полученные из магазина RunFamilyRun для выдачи доступа к купленной программе.
• Данные интеграций: при подключении Strava — данные активностей, перечисленные в разделе 11.
• Технические данные: серверные логи и логи безопасности (метаданные запросов, ошибки).

3. Зачем мы используем данные

• Чтобы работали календарь, программы, результаты, статистика и личные рекорды.
• Для аутентификации и защиты аккаунта.
• Чтобы назначенный тренер мог работать с вашим планом.
• Чтобы выдать доступ к купленным программам.
• Чтобы импортировать активности из Strava, если вы её подключили.
• Для устранения ошибок и защиты от злоупотреблений.

4. Правовые основания

• Исполнение договора: предоставление приложения и купленных программ.
• Согласие: подключение Strava, загрузка фото прогресса.
• Законный интерес: безопасность, предотвращение злоупотреблений, работоспособность сервиса.

5. Сроки хранения

• Аккаунт, профиль и тренировочные данные: пока существует ваш аккаунт.
• Данные из Strava: пока подключение активно. Удаляются при отключении Strava, по запросу на удаление данных Strava, при отзыве доступа в Strava, а также когда активность удалена или скрыта в Strava.
• Технические логи: краткосрочно, только для эксплуатации и безопасности.

6. Кому доступны данные

• Вам.
• Назначенному тренеру — план, тренировки, результаты и переписка. Данные, полученные из Strava, тренеру и администратору не показываются: политика Strava API разрешает показывать данные Strava только самому спортсмену. Выполненную тренировку тренер видит только через отчёт, который вы заполняете и отправляете сами; значения не переносятся туда из Strava автоматически.
• Администраторам RunFamilyRun — для поддержки и эксплуатации сервиса.
• Обработчикам: Supabase (база данных, аутентификация, файловое хранилище), Lovable (хостинг приложения) и Strava (только при подключении). Мы не продаём данные и не используем их для рекламы.

7. Международная передача

Наши обработчики могут хранить и обрабатывать данные за пределами вашей страны, в том числе в ЕС и США. Передача опирается на гарантии этих поставщиков, включая стандартные договорные условия.

8. Безопасность

Данные хранятся в управляемой базе Postgres с построчной защитой доступа: пользователь видит только свои записи, тренер — только записи закреплённых за ним спортсменов. Токены доступа внешних сервисов лежат в отдельной таблице, недоступной фронтенду, и используются только серверным кодом. Трафик передаётся по HTTPS.

9. Ваши права

Для реализации прав напишите на privacy@runfamilyrun.com.

• Доступ, исправление и удаление данных.
• Отзыв согласия в любой момент (подключение Strava, фото прогресса).
• Возражение против обработки и её ограничение.
• Переносимость данных — историю тренировок можно выгрузить в таблицу прямо из приложения.
• Жалоба в надзорный орган по защите данных.

10. Удаление данных

• Удалить данные Strava: удаляет импортированные из Strava активности, сохраняя ваш тренировочный план. Доступно на экране «Интеграции».
• Отключить Strava: отзывает наш доступ в Strava, удаляет сохранённые токены, останавливает синхронизацию и удаляет импортированные активности. Планы, программы и введённые вручную результаты сохраняются.
• Удалить аккаунт RunFamilyRun: запрос на privacy@runfamilyrun.com. Мы отзываем авторизацию Strava, удаляем токены и полученные из Strava данные, прекращаем обработку вебхуков и удаляем данные аккаунта.

11. Интеграция со Strava

Подключение Strava полностью добровольно, приложение работает и без него. Используется официальный Strava API и авторизация OAuth 2.0 — ваш пароль Strava мы не видим и не храним.

Запрашиваемый scope: activity:read_all. Он нужен потому, что спортсмены часто записывают тренировки как приватные активности, и дневник, который молча пропускал бы их, был бы недостоверным. Других разрешений мы не запрашиваем.

• Получаемые данные: идентификатор активности, название, тип спорта, время старта, общее время и время в движении, дистанция, набор высоты, средний и максимальный пульс, средняя скорость/темп, калории и ответ API по перечисленным активностям.
• Где используются: экран «Интеграции», календарь, карточка тренировки, история и статистика.
• Хранение: пока существует подключение; удаление — как описано в разделе 5.
• Отзыв доступа: отключить можно в приложении (сервер вызывает endpoint деавторизации Strava) или в настройках аккаунта Strava. В обоих случаях синхронизация прекращается, а импортированные данные удаляются.
• Активность удалена в Strava: мы удаляем импортированную копию и отвязываем её от тренировки. Сама запланированная тренировка сохраняется.
• Изменилась приватность в Strava: если активность больше не доступна приложению, импортированная копия удаляется.
• Доступ тренера: данные Strava видите только вы. У тренера и администратора нет доступа к ним в приложении — согласно правилу Strava API Policy «Display Limited to the Authenticated User».

12. Дети

Приложение не предназначено для детей младше 16 лет без участия родителя или опекуна.

13. Изменения политики

Политика может обновляться. Дата вверху всегда отражает актуальную версию, о существенных изменениях мы сообщим в приложении.

14. Контакты

privacy@runfamilyrun.com