Политика конфиденциальности · HEADSPA

1 · Введение

1.1. SIA HEADSPA (рег. № 40203721075, юридический адрес: Rūpniecības iela 5-1A, Rīga, LV-1010), далее - HEADSPA, уважает вашу конфиденциальность и защищает персональные данные в соответствии с Общим регламентом защиты данных (GDPR, ЕС 2016/679) и Законом Латвийской Республики об обработке персональных данных физических лиц.

1.2. Настоящая политика конфиденциальности (далее - Политика) разъясняет, как HEADSPA собирает, использует, хранит и защищает ваши персональные данные, а также ваши права в отношении этих данных.

1.3. Политика распространяется на всех клиентов HEADSPA и посетителей сайта head-spa.lv.

2 · Ответственный за защиту данных (DPO)

Имя: Konstantins Talikovs

Роль: директор SIA HEADSPA и ответственный за защиту данных

Email: admin@head-spa.lv

Телефон: +371 22 830 328

Адрес: Rūpniecības iela 5-1A, Rīga, LV-1010

По любому вопросу об обработке ваших данных вы можете связаться с DPO напрямую.

3 · Какие данные мы обрабатываем

3.1. Идентификационные данные

• Имя, фамилия
• Дата рождения
• Номер телефона
• Email
• Язык коммуникации (LV / EN / RU)

Цель: управление резервациями, коммуникация, напоминания, выдача документов.

Правовое основание: договор между Клиентом и HEADSPA (GDPR 6.1.b).

3.2. Медицинские данные ⚠️ Особая категория

Согласно статье 9 GDPR, медицинские данные являются особой категорией персональных данных с дополнительной защитой.

Мы обрабатываем:

• Ответы на онлайн-анкету о здоровье - короткая анкета, заполняется после резервации
• Ответы на полную анкету о здоровье в студии - перед процедурой
• Данные о противопоказаниях, аллергиях, хронических заболеваниях, принимаемых медикаментах
• Заметки специалиста о ходе процедуры и состоянии Клиента (только то, что важно для безопасности и адаптации программы)

Цель: обеспечить безопасность процедуры, адаптировать программу, избежать рисков для здоровья.

Правовое основание: явно выраженное согласие (GDPR 9.2.a) - Клиент даёт согласие, заполняя анкету и подписывая информированное согласие в студии.

3.3. Платёжные данные

• Номер банковского счёта (который Клиент указывает сам)
• История платежей
• Номера счетов и суммы

У нас НЕТ доступа к номерам банковских карт Клиента или паролям - эту информацию обрабатывают банки и поставщики платёжных услуг.

Для онлайн-оплаты картой HEADSPA использует платёжного провайдера Paynt (Pivotal Payments Designated Activity Company / Oppwa) в режиме SAQ-A-совместимого платёжного виджета (Copy & Pay). Номер карты, срок действия, CVV/CVC и одноразовые коды 3D Secure вводятся непосредственно на стороне платёжного провайдера; HEADSPA не получает и не хранит эти данные. Передача данных платёжному провайдеру отражена в п. 5.2 как отдельный обработчик данных.

Цель: выставление счетов, бухгалтерский учёт.

Правовое основание: юридическая обязанность (Закон Латвии о бухгалтерском учёте) + договор.

3.4. Технические данные с сайта

• IP-адрес
• Тип и версия браузера
• Дата и время посещения сайта
• Просмотренные страницы
• Источник трафика (с какого сайта вы пришли)

Цель: работа сайта, безопасность, статистика.

Правовое основание: законные интересы (GDPR 6.1.f) и - для cookies - согласие.

3.5. Маркетинговые данные (с согласия)

• Согласие на получение новостей, акционных предложений, приглашений
• Клики и открытия в электронных письмах

Цель: маркетинговая коммуникация.

Правовое основание: согласие (GDPR 6.1.a).

3.6. Подтверждение, напоминание, анкета перед визитом, счёт, изменение или отмена записи отправляются по договору (GDPR 6.1.b), без согласия; отказ от рекламы и рассылки их не отключает.

4 · Сколько времени мы храним данные

По истечении срока данные удаляются или анонимизируются.

5 · Кому мы передаём данные

5.1. Наши сотрудники и партнёры

Доступ к данным имеют только лица, которым он необходим для выполнения обязанностей:

• Александра Таликова - анкеты о здоровье и заметки по процедурам
• Konstantins Talikovs (DPO) - все данные для целей администрирования
• Бухгалтер - счета, платежи, годовой отчёт

5.2. Обработчики данных

Все обработчики данных подписали Договоры об обработке данных (DPA) с HEADSPA.

5.3. Передача данных за пределы ЕС

Большинство персональных данных Клиента обрабатывается в пределах Европейской экономической зоны (ЕЭЗ).

Передача в третьи страны:

• Notion Labs Inc. (США) - используется как CRM-система для хранения базы клиентов и истории резерваций. Передача защищена: Стандартными договорными положениями ЕС (Standard Contractual Clauses, SCC); Сертификацией EU-US Data Privacy Framework (DPF); Договором об обработке данных (DPA), подписанным с HEADSPA.
• Google Workspace - основная инфраструктура размещена в дата-центрах ЕС. В случае технической передачи данных в США применяются те же гарантии: SCC и EU-US Data Privacy Framework.
• Meta, Google и OpenAI - только при рекламном согласии (п. 5.5). Данные могут обрабатываться Meta Platforms, Inc., Google LLC и OpenAI OpCo, LLC в США на основании EU-US Data Privacy Framework и Стандартных договорных положений ЕС.

HEADSPA не передаёт персональные данные в страны, не имеющие признанного ЕС уровня защиты данных, без применения соответствующих правовых гарантий.

5.4. Категории получателей

HEADSPA не продаёт персональные данные Клиента и не передаёт их третьим лицам в рекламных целях без отдельного согласия Клиента (см. п. 5.5).

Без согласия данные передаются только:

• Обработчикам данных, перечисленным в п. 5.2, исключительно для выполнения договорных обязательств перед Клиентом
• Государственным органам - только по законному запросу (налоговая служба VID, PTAC, суд, полиция)
• Бухгалтерским и юридическим консультантам HEADSPA - на основании договоров о конфиденциальности

5.5. Рекламные платформы

Этот пункт применяется только к Клиентам, давшим отдельное согласие на передачу контактных данных в рекламные аудитории. Согласие на получение новостей по электронной почте (п. 3.5) такого права не даёт: это разные действия с разными получателями - письма отправляет HEADSPA, аудитория передаётся третьей стороне.

• Получатели: Meta Platforms Ireland Ltd, Google Ireland Ltd и OpenAI Ireland Limited (ChatGPT) (Ирландия). Данные могут передаваться им для рекламы HEADSPA и измерения этой рекламы в сервисах этих платформ.
• Что может передаваться: почта и телефон из брони или формы в хешированном виде (SHA-256) и факт подтверждённой брони. Данные о здоровье, анкета и история процедур - никогда.
• Согласие: кнопка «Ок» в cookie-баннере сайта. Отказ: кнопка «Отказаться» (баннер снова открывается через «Настройки cookie» внизу сайта) или письмо на booking@head-spa.lv.
• Срок: в рекламных аудиториях - до 12 месяцев с передачи.

Согласие, данное до публикации настоящей редакции, рекламной передачи не покрывает: основание возникает в момент сбора, а прежняя редакция прямо обещала, что данные в рекламных целях не передаются.

6 · Ваши права

Согласно GDPR, у вас есть следующие права:

6.1. Право на доступ (статья 15 GDPR)

Вы можете запросить копию всех данных, которые мы обрабатываем о вас. Ответ - в течение 30 дней.

6.2. Право на исправление (статья 16 GDPR)

Если данные неточны или неполны, вы можете запросить их исправление.

6.3. Право быть забытым (статья 17 GDPR)

Вы можете запросить удаление своих данных, за исключением:

• Данных, хранение которых обязательно по закону (счета, подписанные в студии анкеты о здоровье)
• Данных, необходимых для защиты юридических требований

6.4. Право на ограничение обработки (статья 18 GDPR)

Вы можете запросить ограничение обработки, если оспариваете точность данных.

6.5. Право на переносимость данных (статья 20 GDPR)

Вы можете запросить свои данные в структурированном, машиночитаемом формате (CSV или JSON) для переноса к другому поставщику услуг.

6.6. Право возражать (статья 21 GDPR)

Вы можете возразить против обработки данных на основании законных интересов или в маркетинговых целях.

6.7. Право отозвать согласие

Вы можете в любой момент отозвать своё согласие, отправив email на admin@head-spa.lv. Отзыв не влияет на законность обработки до отзыва.

6.8. Право подать жалобу в надзорный орган

Если вы считаете, что ваши права нарушены, можете подать жалобу:

Государственная инспекция данных Латвии

• Elijas iela 17, Rīga, LV-1050
• Тел.: +371 67223131
• Email: pasts@dvi.gov.lv
• Сайт: www.dvi.gov.lv

7 · Безопасность данных

7.1. HEADSPA применяет технические и организационные меры для защиты ваших данных:

Технические меры:

• SSL/TLS шифрование на сайте и в платёжных системах
• Шифрование данных на уровне хранения в Supabase (медицинские данные)
• Контроль доступа с аутентификацией и двухфакторной проверкой
• Регулярное резервное копирование

Организационные меры:

• Обучение персонала по обработке персональных данных
• Соглашения о конфиденциальности с сотрудниками и партнёрами
• Принцип доступа по необходимости (need-to-know)
• Договоры об обработке данных (DPA) со всеми обработчиками

7.2. В случае утечки данных мы уведомляем Государственную инспекцию данных в течение 72 часов, а если утечка несёт высокий риск для прав Клиентов - также соответствующих Клиентов.

8 · Cookies

8.1. Что такое cookie. Cookie - небольшой файл, который сайт сохраняет в браузере, чтобы запомнить выбор посетителя или узнать его при следующем визите. Так же работает хранилище браузера (localStorage и sessionStorage); ниже оно описано вместе с cookie.

8.2. Зачем мы их используем. Чтобы сайт работал (язык, запись, оплата, ваш выбор в баннере), чтобы понимать, как пользуются сайтом, и чтобы показывать рекламу HEADSPA Omotenashi и считать, какие брони пришли из рекламы.

8.3. Какие cookie мы используем.

Необходимые - работают всегда, без согласия:

Аналитика и реклама - только после «Ок» в баннере:

8.4. Что включает «Ок» и что остаётся при «Отказаться». «Ок» включает аналитику и рекламу из второй таблицы. Кроме того, когда вы после «Ок» оформляете бронь или отправляете форму, почта и телефон в хешированном виде передаются в рекламные аудитории Meta и Google (п. 5.5). «Отказаться» - работают только необходимые cookie из первой таблицы, Google Analytics, Vercel Analytics, Meta Pixel и Google Ads не загружаются, контакт в рекламу не передаётся.

8.5. Как изменить выбор. Кнопка «Настройки cookie» внизу любой страницы сайта снова открывает баннер. Выбор можно сменить в любой момент; через 12 месяцев баннер спросит снова. Вопросы и отказ письмом - booking@head-spa.lv. Удалить cookie можно и в настройках браузера.

9 · Особые категории данных (медицинская информация)

9.1. Перед каждой процедурой Клиент заполняет анкету о здоровье (противопоказания, аллергии, хронические заболевания, беременность, приём медикаментов). Эти данные относятся к особой категории персональных данных согласно ст. 9 Регламента (ЕС) 2016/679 (GDPR).

9.2. Правовое основание обработки: явное согласие Клиента (ст. 9(2)(a) GDPR), выраженное путём подписания анкеты или подтверждения чекбоксом в онлайн-форме.

9.3. Место хранения:

• Онлайн-анкета (заполненная до визита) хранится в Supabase (Франкфурт, ЕС). Данные не передаются в третьи страны.
• Подписанная бумажная анкета в студии сканируется и хранится в Google Workspace (ЕС).
• Содержимое анкеты о здоровье не дублируется в CRM-системе (Notion). В CRM фиксируется только факт заполнения анкеты и общие отметки специалиста о применимости программы.

9.4. Доступ к медицинским данным имеют только:

• Специалист, проводящий процедуру
• Главный специалист HEADSPA (Александра Таликова, медицинское образование)
• Ответственное лицо за защиту данных (Konstantins Talikovs)

9.5. Срок хранения медицинских данных: 3 года с момента последнего визита Клиента, после чего данные удаляются. Если Клиент не возвращается в течение этого срока, анкета удаляется автоматически.

9.6. Клиент имеет право в любой момент запросить удаление медицинских данных до окончания срока хранения, направив запрос на admin@head-spa.lv. Удаление осуществляется в течение 30 дней.

10 · Передача данных за пределы ЕС/ЕЭП

10.1. Большинство обработчиков данных находятся на территории ЕС/ЕЭП.

10.2. Некоторые сервисы (например, Notion Labs) находятся в США. В таких случаях передача данных происходит в соответствии с:

• EU-US Data Privacy Framework (новый фреймворк, в силе с 2023 года)
• Стандартными договорными положениями (SCC)
• Утверждёнными договорами об обработке данных (DPA) с поставщиком услуг

10.3. Медицинские данные (анкеты о здоровье) не передаются за пределы ЕС - они хранятся в Supabase (Франкфурт) и Google Drive (ЕС-сервисы).

11 · Изменения в настоящей политике

11.1. HEADSPA оставляет за собой право изменять настоящую Политику. Изменения публикуются на сайте с указанием даты вступления в силу.

11.2. Об изменениях Политики мы предупреждаем публикацией новой редакции на сайте с указанием даты вступления в силу. Если изменение касается согласия (новые цели обработки или новые получатели), cookie-баннер сайта запрашивает согласие заново при следующем входе на сайт. Письма Клиентам об изменениях Политики не рассылаются. Прежние редакции доступны по ссылке в п. 11.3.

11.3. Прежняя редакция 1.1 (с 20.10.2026 по 01.11.2026): /ru/privacy/v1-1.

12 · Контакты

Контролёр данных:

• SIA HEADSPA
• Рег. № 40203721075
• Rūpniecības iela 5-1A, Rīga, LV-1010

Ответственный за защиту данных (DPO):

• Konstantins Talikovs
• Email: admin@head-spa.lv
• Телефон: +371 22 830 328

Надзорный орган:

• Государственная инспекция данных Латвии
• www.dvi.gov.lv