Политика конфиденциальности
Обновлено: 31 августа 2026 · версия 2026-08-31
1. О документе
Этот документ описывает, какие персональные данные собирает мини-приложение King of the Gym (далее — «Сервис»), как они хранятся, обрабатываются и удаляются. Использование Сервиса означает явное согласие с настоящей Политикой (юридическое основание — ст. 6 GDPR, ст. 9 152-ФЗ).
Дата последнего обновления: 31 августа 2026. При существенных изменениях вы получите уведомление через Telegram и в самом приложении за 30 дней до вступления в силу.
Сервис работает внутри Telegram через Bot API и Mini Apps и дополнительно подчиняется Telegram Bot Developer Terms, Mini Apps Terms и Telegram Privacy Policy. При расхождениях преимущество имеют документы Telegram и применимое законодательство.
2. Кто оператор данных
Оператор персональных данных в отношении информации, которую вы передаёте Сервису — разработчик мини-приложения King of the Gym, физическое лицо/самозанятый, зарегистрированный в Россия. Идентификация оператора также доступна по команде /developer_info в боте.
Контакт по любым вопросам обработки данных: samveld396@gmail.com или Telegram @SamDavidyans.
Telegram Messenger Inc. не является оператором ваших данных в рамках Сервиса. Telegram только обеспечивает платформу для работы мини-приложения; данные, которые вы передаёте Сервису через интерфейс мини-приложения, обрабатываются оператором согласно настоящей Политике. Данные, циркулирующие в самом Telegram (сообщения с ботом, идентификатор аккаунта) регулируются Telegram Privacy Policy.
3. Какие данные мы собираем
Сервис собирает следующие категории данных исключительно для выполнения своих функций:
3.1. От Telegram (автоматически при первом запуске)
- Telegram ID (числовой идентификатор аккаунта)
- Имя, фамилия, username, аватар — если они доступны в настройках вашего профиля Telegram
- Код языка клиента (ru, en и т.д.)
- Тема оформления Telegram (для согласования палитры мини-приложения)
- Часовой пояс вашего устройства (например, Europe/Moscow) — приложение сообщает его при обращении к серверу, чтобы «день» в сериях, дневных лимитах и напоминаниях считался по вашему местному времени, а не по UTC
3.2. От вас (явно при заполнении анкеты)
- Пол, возраст, рост, вес, целевой вес
- Фитнес-цель (масса, сушка, поддержание, сила, выносливость, рекомпозиция)
- Уровень активности, опыт тренировок, количество тренировок в неделю
- Аллергии и медицинские ограничения — опционально, на ваше усмотрение
- Пищевые предпочтения, стиль питания, любимые источники белков/жиров/углеводов
- Расчётный или вручную указанный уровень калорий и КБЖУ
3.3. При использовании AI-функций (фото блюда, голос, фото тела, чат с AI-коучем)
- Сжатое изображение блюда (максимум 800px по большей стороне, JPEG 70% качества)
- Голосовое сообщение с описанием приёма пищи — при использовании голосового ввода
- Фото тела — для оценки примерного % жира (body-fat анализ)
- Текстовое описание блюда или сообщение AI-коучу, если вы его ввели
- Подсказки (вес порции, состояние «сырое/готовое», заметки)
3.4. История активности (накапливается со временем)
- Что вы съели и когда (название, КБЖУ, время приёма, источник — фото/голос/текст/ручной ввод)
- Объём выпитой воды по дням
- Выполненные тренировки и их параметры: подходы, вес, повторения, RPE
- Замеры тела, включая историю % жира из body-fat анализа — если вы их вводите или запускаете анализ
- Личные продукты в вашей сохранённой базе
- История переписки с AI-коучем (ваши сообщения, ответы AI, предложенные и применённые действия, уменьшенные миниатюры прикреплённых фото)
- Баллы рейтинга и коронки: текущий баланс и журнал начислений и списаний (за что, когда, сколько) — журнал нужен, чтобы вы могли оспорить любое начисление
- Серия ежедневных наград и открытые кейсы
- Раздел «Арена»: ваши прогнозы на турниры (кого выбрали, ставка, результат) и подписки на турниры
- Приглашения по вашей реферальной ссылке: кто пригласил вас и кого пригласили вы, с начисленными за это бонусами
- Ваш отзыв о Сервисе: оценки, комментарий, имя и аватар автора
- Нарушения правил общения: категория, дата и фрагмент вашего сообщения до 300 символов — сохраняется как основание блокировки, чтобы решение модерации можно было проверить и обжаловать
- Дата и факт согласия с настоящей Политикой, IP-адрес и User-Agent на момент согласия (для аудита по ст. 7 GDPR / ст. 9 152-ФЗ)
3.5. При покупке Premium
- Идентификатор платежа от Telegram (telegram_payment_charge_id) — нужен для обработки возврата
- Сумма в Telegram Stars, дата платежа, выбранный тариф
- Флаг автопродления (если вы оформили подписку)
Банковские реквизиты, данные карт, паспортные и идентификационные данные мы не получаем — оплата обрабатывается Telegram и Apple/Google как in-app purchase.
3.6. Технические данные и IP-адрес
- IP-адрес и User-Agent — записываются при принятии согласия (см. 3.4), при неудачных попытках входа в приложение и в служебном журнале действий (audit-лог, хранится 90 дней)
- IP-адрес при первой активации бесплатного триала — хранится отдельно и бессрочно как мера защиты от злоупотреблений (см. раздел 5.3 и 6)
- Время последнего обращения к Сервису, счётчик обращений и отметки дней, когда вы заходили — по ним считаются серии и видно, живёт ли аккаунт
- Нажатия на кнопки в сообщениях от бота (какая кнопка и когда) — чтобы понимать, какие сообщения полезны, а какие мешают
- httpOnly-cookie сессии авторизации (см. раздел 9)
3.7. Что видно другим пользователям
Часть данных Сервис показывает не только вам:
- В общем рейтинге видны ваши имя и фамилия из Telegram, эмодзи профиля, число тренировок, место и баллы, а также значок Premium. Аватар и username в рейтинге не показываются; username появляется там, только если вы сами включите это в настройках
- Если вы оставили отзыв — публично видны имя, фамилия, аватар, оценки и текст отзыва
Открыв карточку участника рейтинга, другие видят те же данные плюс дату регистрации, статистику тренировок и ваш отзыв, если он есть. Свой отзыв вы можете удалить сами в любой момент. Чтобы вас убрали из рейтинга целиком, напишите в поддержку (раздел 13) — начисление баллов при этом продолжается, вы просто перестаёте показываться в списке.
3.8. Обмен коронок на призы и призы рейтинга
Если вы оформляете приз, форма заказа просит адрес доставки, номер телефона и Telegram-username. Это единственное место, где Сервис спрашивает адрес и телефон: без них приз некуда отправить. Данные привязаны к конкретному заказу, доступны оператору Сервиса для выдачи приза и не используются ни для рассылок, ни для чего-либо ещё. Не оформляете призы — этих данных у Сервиса нет вовсе.
Вместе с заказом сохраняется, какой приз выбран, сколько коронок списано, статус выдачи и — для призов рейтинга — занятое место и решение оператора с причиной.
3.9. Анонимное демо на сайте (без входа в Telegram)
На публичной странице-визитке Сервиса есть демо-функция «попробовать AI-анализ фото еды» без регистрации. Загруженное демо-фото передаётся провайдеру AI и не сохраняется Сервисом ни на диске, ни в базе данных — оно существует только в оперативной памяти сервера на время запроса. Для ограничения количества бесплатных попыток используются: анонимный cookie-идентификатор устройства (не привязан к личности) и IP-адрес (только как ключ счётчика лимита в Redis, без сохранения истории запросов). Подробнее — раздел 9.
3.10. Чего мы НЕ собираем
- Номер телефона от Telegram — мессенджер не передаёт его Сервису. Телефон появляется у Сервиса, только если вы сами введёте его в форме заказа приза (см. 3.8)
- Email, паспортные данные, банковские реквизиты, данные карт
- Геолокацию, контакты, переписку в Telegram, данные других чатов
- Историю браузера, информацию о других установленных приложениях
- Биометрические данные кроме веса, роста и % жира (body-fat), которые вы вводите или запускаете сами
- Cookies сторонних аналитических сервисов (Google Analytics, Yandex.Metrica и т.п.)
4. Цели обработки данных
Все данные обрабатываются исключительно для следующих целей (ст. 5 152-ФЗ, ст. 5(1)(b) GDPR — целевое назначение):
- Расчёт ваших персональных норм калорий и макронутриентов по формуле Миффлина-Сент-Джеора
- Генерация AI-плана питания и тренировок под ваши параметры и цели
- Распознавание блюд на фото и подсчёт КБЖУ с учётом веса и состояния
- Хранение истории питания, воды и тренировок для отображения прогресса
- Персональные рекомендации на основе вашей истории (только для Premium-юзеров)
- Ответы AI-коуча на ваши вопросы и предложение действий (изменить цель, скорректировать КБЖУ и т.п.)
- Оценка % жира по фото тела (body-fat анализ)
- Активация и продление Premium-подписки, обработка возвратов
- Уведомления о тренировках и приёмах пищи — только если вы их включили
- Сервисные и информационные рассылки в боте (обновления функциональности, важные технические уведомления) — часть основного сервиса, не рекламная рассылка, см. раздел 7.1
- Защита от злоупотребления бесплатным триалом (повторная активация с другого аккаунта на том же устройстве/IP) — законный интерес оператора (ст. 6.1.f GDPR, ст. 6 п.1 152-ФЗ)
Мы не используем ваши данные для:
- Показа рекламы — реклама в Сервисе отсутствует
- Продажи или передачи маркетинговым/аналитическим компаниям
- Профилирования с целью маркетинга или принятия автоматических решений с юридическими последствиями (ст. 22 GDPR)
- Тренировки моделей машинного обучения
5. Хранение и безопасность
5.1. Где и как хранятся
Данные хранятся в базе MongoDB на сервере оператора. Сервер защищён файрволом (UFW), доступом по SSH-ключам (парольная аутентификация отключена), HTTPS с TLS 1.2/1.3 (Let's Encrypt). Резервные копии создаются ежедневно и шифруются перед записью.
5.2. Шифрование и авторизация
Весь обмен между приложением и сервером — только через HTTPS. Пароли мы не храним: авторизация выполняется через Telegram initData с проверкой HMAC-подписи на каждом запросе. Сессии — JWT-токены с ограниченным сроком жизни.
5.3. Срок хранения (data retention)
- Профиль и история активности (питание, тренировки, замеры, чат с AI-коучем): пока вы пользуетесь Сервисом; удаляются безвозвратно при удалении аккаунта (раздел 6)
- Фото и голосовые для AI-анализа: не сохраняются Сервисом — передаются провайдеру AI из оперативной памяти и не пишутся на диск; в чате с AI-коучем сохраняется только уменьшенная миниатюра прикреплённого фото
- Технические задачи AI (aiTasks — статус обработки запроса): автоматически удаляются через 24 часа
- Агрегированная статистика использования AI-функций (для лимитов Premium): хранится 180 дней с автоудалением
- Журнал действий (audit-лог: согласие, вход, удаление аккаунта — включая IP и User-Agent): автоматически удаляется через 90 дней
- Запись о факте использования бесплатного триала (telegramId + IP первой активации): хранится бессрочно как мера защиты от повторных фиктивных регистраций — сохраняется даже после удаления аккаунта (законный интерес, ст. 6.1.f GDPR)
- Контактные данные заказа приза (адрес, телефон, username): хранятся до выдачи приза и год после неё — на случай спора о доставке; удаляются вместе с аккаунтом
- Записи о нарушениях правил общения: хранятся, пока действует ограничение, и удаляются вместе с аккаунтом
- Резервные копии базы данных: 30 дней с ротацией, потом стираются
- Платёжные данные: хранятся в течение срока, требуемого налоговым и потребительским правом (минимум 3 года для физлица в РФ) — не удаляются вместе с аккаунтом
- Запись о согласии: хранится всё время пока активен аккаунт; после удаления аккаунта факт согласия фиксируется в audit-логе ещё до истечения его 90-дневного срока (см. выше)
6. Ваши права (GDPR Art. 15-22, 152-ФЗ ст. 14-22)
Вы имеете право в любой момент и без объяснения причин:
- Получить копию ваших данных — кнопка «Скачать мои данные» в Профиле выгружает JSON с профилем, планами тренировок и питания, дневником питания, замерами веса, историей Premium и обратной связью. AI-задачи выгружаются как метаданные (тип, статус, дата) — без фото/голоса, так как они не хранятся
- Удалить аккаунт целиком — кнопка «Удалить аккаунт» в Профиле запускает подтверждение в два независимых шага: сначала вы подтверждаете намерение в приложении, затем бот присылает отдельное сообщение в чат Telegram с кнопками «Подтвердить»/«Отмена» (действительно 10 минут). Только после подтверждения в боте аккаунт и все связанные данные (тренировки, питание, замеры, чат с AI-коучем, отзывы, кэши AI) удаляются безвозвратно. Это двойное подтверждение защищает от случайного/панического удаления одним тапом. Сохраняются: платёжные записи (бухгалтерский/налоговый учёт), запись о факте использования бесплатного триала (защита от повторных регистраций, см. 5.3) и запись об удалении в audit-логе (90 дней)
- Исправить неточные данные — отредактировать поля профиля в приложении или написать оператору
- Ограничить обработку или возразить против неё — пишите на samveld396@gmail.com
- Отозвать согласие — отзыв влечёт удаление данных, кроме тех что мы обязаны или вправе хранить по закону / законному интересу (см. 5.3)
- Перенос данных — JSON-экспорт подходит для переноса в любой совместимый сервис
- Подать жалобу в надзорный орган: для РФ — Роскомнадзор, для ЕС — национальный орган по защите данных
7. Передача данных третьим лицам
Мы передаём данные третьим лицам только в следующих случаях:
- AI-провайдеры (Google Gemini через прямой API (Google)) — распознавание блюд на фото, расшифровка голосовых описаний питания, оценка % жира по фото тела, генерация планов питания/тренировок, ответы AI-коуча и анализ текстовых описаний. Передаются только изображение/аудио/текст запроса, без вашего Telegram ID, имени или контактных данных. Хранение у провайдера: 0 дней (только inference). Google Gemini — зарубежный сервис (США/международная инфраструктура Google); отправка запроса технически означает трансграничную передачу данных запроса за пределы РФ. Мы передаём только необходимый минимум (без прямых идентификаторов) и рекомендуем не указывать в тексте запроса или голосовом сообщении дополнительную личную информацию сверх необходимой.
- Платёжная инфраструктура (Telegram Stars) — для оплаты Premium-подписки. Telegram получает сумму и факт оплаты; банковские реквизиты обрабатываются Apple/Google как часть in-app purchase. Оператор Сервиса получает только telegram_payment_charge_id и сумму в Stars.
- Инфраструктура хостинга — база данных (MongoDB) и кэш/очереди (Redis) работают на сервере оператора; это не независимые операторы данных, а технические subprocessor'ы оператора.
- Мониторинг ошибок (Sentry) — при технических сбоях в Сервис отправляется отчёт об ошибке. Из отчёта автоматически вырезаются заголовки авторизации, cookies и поля вида «пароль»/«токен»/initData; отчёты собираются не по каждому запросу, а выборочно, для диагностики сбоев.
- Государственные органы — только по официальному запросу с законным основанием (например, мотивированное постановление суда или прокуратуры).
Мы не продаём, не сдаём в аренду и не передаём ваши данные маркетинговым, рекламным или аналитическим компаниям.
7.1. Рассылки в боте
Сервис может присылать вам сообщения в чат с ботом: сервисные уведомления (напоминания о тренировке/приёме пищи — если вы их включили, статус триала/подписки, ответы поддержки), а также периодические информационные сообщения об изменениях и новых функциях Сервиса. Это часть основного функционала бота, а не рекламная рассылка третьих лиц — отдельного согласия на неё, помимо общего согласия на использование Сервиса, мы не запрашиваем. Полностью отключить сообщения от бота можно, заблокировав бота в Telegram (или удалив аккаунт — раздел 6); точечные уведомления (тренировки/питание) отключаются в настройках приложения.
8. Возрастные ограничения
- ЕС и Великобритания (UK GDPR): минимум 16 лет
- США (COPPA): минимум 13 лет
- Россия и СНГ: минимум 14 лет (с согласия родителей или законных представителей до 18 лет согласно ст. 26 ГК РФ)
- Остальные страны: по местному законодательству о защите детей и обработке их данных
Если вам меньше указанного для вашей страны возраста — использование Сервиса запрещено. При обнаружении регистрации несовершеннолетнего ниже допустимого возраста — аккаунт удаляется автоматически.
Если вы родитель или законный представитель и узнали, что ваш ребёнок зарегистрирован без вашего согласия — напишите на samveld396@gmail.com для срочного удаления.
9. Cookies и локальное хранилище
Сервис не использует cookies сторонних аналитических или рекламных сервисов (Google Analytics, Yandex.Metrica, Meta Pixel и т.п.) и не строит профили на основе поведения. Мы используем только собственные (first-party) технические cookies, необходимые для работы сервиса:
- kb_token — сессия авторизации в мини-приложении. Формат: httpOnly cookie (недоступна JavaScript на странице, что снижает риск кражи токена через XSS), флаг Secure, SameSite=Lax, срок жизни 7 дней. Используется только для проверки, что запрос к API идёт от авторизованного вас.
- kb_demo_id — анонимный идентификатор устройства для лимита бесплатных попыток демо-AI-анализа на публичной странице сайта (без входа в Telegram, см. 3.9). Не httpOnly, срок жизни 365 дней, не содержит и не привязан к вашим личным данным — это случайный технический ID.
Локально на устройстве (в кэше приложения) дополнительно могут храниться:
- Кеш истории питания и тренировок (для быстрого отображения без сети)
- Локальные настройки UI (выбранная дата, фильтры и т.п.)
Локальный кэш — данные на вашем устройстве, оператор Сервиса к ним не имеет прямого доступа. Он очищается при выходе из аккаунта и при удалении WebApp/сайта в настройках браузера или Telegram. Cookie kb_token удаляется при выходе из аккаунта (logout) или истекает автоматически через 7 дней.
10. Медицинское предупреждение
11. Безопасность и инциденты
При обнаружении утечки персональных данных или несанкционированного доступа к ним мы:
- Уведомим вас через Telegram-бота в течение 72 часов (требование GDPR Art. 33)
- Опишем, какие данные затронуты и какие меры приняты для устранения последствий
- Уведомим Роскомнадзор и/или соответствующий надзорный орган в сроки, установленные законом
12. Изменения политики
При существенных изменениях этой Политики вы получите уведомление через Telegram-бота и в самом приложении за 30 дней до вступления изменений в силу. После вступления в силу новой версии вам будет предложено повторно ознакомиться и согласиться с обновлёнными документами. Без согласия с новой версией доступ к расширенным функциям может быть ограничен.
13. Контакты
По любым вопросам обработки данных, запросам GDPR/152-ФЗ, жалобам и предложениям:
- Email: samveld396@gmail.com
- Telegram: @SamDavidyans
- Команда в боте:
/supportили/developer_info