Персональные данные клиентов

Работая с CRM fitness365, фитнес-клубы в ходе ежедневной деятельности обрабатывают персональные данные своих клиентов. Это значит, что организация становится оператором персональных данных и обязана соблюдать требования Федерального закона №152-ФЗ “О персональных данных”, вступившего в силу с с 30 мая 2025 года.

В этой статье мы расскажем, как клубу организовать работу с персональными данными в fitness365 корректно и безопасно.

Какие данные считаются персональными

Если вы заносите в систему fitness365 данные, позволяющие идентифицировать клиента, это уже подпадает под действие закона.
Существенная часть информации из карточки клиента – это персональные данные. К ним относятся:

ФИО
Телефон
Email
Дата рождения
Пол
История посещений
Данные о платежах
Фотографии
Адрес
Паспортные данные (если запрашиваются)
Рост, вес, замеры (не считаются медицинскими. Бассейны заполняют дополнительные данные о медицинских данных)
Данные о посещениях

Для клуба с сотрудниками персональными данными будут также:

СНИЛС
ИНН
Место рождения
Номер банковского счёта

Кто является оператором персональных данных

Оператором является сам фитнес-клуб — юридическое лицо или ИП, который собирает и использует данные своих клиентов.

CRM fitness365 лишь предоставляет облачную платформу и в этом случае выступает обработчиком персональных данных по поручению клуба.

Какие действия нужно выполнить клубу

1. Подайте уведомление в Роскомнадзор

Если вы ранее этого не делали, зарегистрируйтесь как оператор персональных данных. Для этого:

1. Перейдите на сайт: https://pd.rkn.gov.ru/operators-registry/

2. Нажмите Подать уведомление. Авторизуйтесь через Госуслуги юридического лица или ИП.

3. Заполните форму. Необходимо будет указать:

зачем вы собираете данные,
какие именно данные,
как вы их защищаете,
с кем делитесь.

Ниже в этой статье мы приводим пример заполнения формы в РКН.

2. Получите согласие клиента

Включите в договор или анкету клиента фразу о согласии на обработку персональных данных (шаблон документа – здесь). При регистрации в мобильном приложении fitnes365 клиент также дает согласие на обработку персональных данных.

Вот пример текста согласия, который вы можете использовать в анкете, договоре или заявлении при оформлении абонемента:

Согласие клиента на обработку персональных данных (шаблон документа)

3. Ознакомьтесь с поручением на обработку

Акцепт Оферты на использование сервиса fitness365, автоматически дает сервису также поручение обработку персональных данных.

Поручение доступно по ссылке:
https://my.fitness365.ru/UserFiles/dpa.pdf

В нём указаны:

перечень обрабатываемых данных,
цели и порядок обработки,
меры защиты,
права и обязанности сторон.

4. Убедитесь, что защита данных обеспечена

Персональные данные обрабатываются и хранятся на серверах в центре обработки данных (ЦОД) по адресу: Москва, Научный проезд, д.20, стр.2 (Технопарк Слава, ЦОД Реконн). Юридическое лицо: ООО «СЕЙН». Адрес: 123557, г. Москва, ул. Пресненский Вал, д.14, этаж 9, пом I, ком.2 ИНН 7703125944 | КПП 770301001 | ОГРН 1157746205319 e-mail: info@sanecloud.ru телефон: 8-800-550-9304.

Какие меры по защите данных должен обеспечить клуб

Разработать и утвердить политику обработки персональных данных, разместить её на сайте клуба.
Ознакомить сотрудников с требованиями закона.
Назначить ответственного за персональные данные.
Хранить бумажные согласия от клиентов.
Ограничить доступ к CRM по ролям и отдельным учетным записям сотрудников – для контроля доступа.
Использовать антивирус и обновления ПО.
Не хранить клиентские данные на внешних носителях и не передавать третьим лицам.

Нужно ли заключать дополнительный договор с fitness365

Заключать дополнительный договор не нужно. Все необходимые условия содержатся в Оферте и Поручении на обработку персональных данных, размещённых на сайте:

Оферта: https://my.fitness365.ru/UserFiles/oferta365.pdf
Поручение: https://my.fitness365.ru/UserFiles/dpa.pdf

Акцепт оферты (использование сервиса) является юридически значимым согласием с условиями обработки.

СКЗИ (Средства Криптографической Защиты Информации)

В рамках защиты данных при передаче по сети интернет в сервисе fitness365 используется протокол HTTPS с SSL/TLS-шифрованием, обеспечивающий защищённый канал связи между клиентом и сервером.

При этом сертификаты SSL/TLS не относятся к средствам криптографической защиты информации (СКЗИ) российского производства, зарегистрированным в ФСБ, и, соответственно, не имеют класса СКЗИ.

Согласно действующему законодательству (Постановление Правительства РФ №1119), применение сертифицированных СКЗИ обязательно только при обработке специальных категорий персональных данных или при работе с государственными информационными системами, что к большинству коммерческих CRM-сервисов, таких как fitness365, не применяется.

Таким образом, если Вы отдельно не используете СКЗИ на своем компьютере, то при подаче заявки в Роскомнадзор в поле СКЗИ укажите – Не используется.

Пример заполнения формы для регистрации в РКН

Здесь Вы может ознакомиться с примером заполнения формы регистрации оператора персональных данных в Роскомнадзор для стандартного фитнес клуба. Вы можете адаптировать ответы под свой клуб.

Тип оператора: ИП или ООО (укажите, как в регистрации)

Контактные данные:

Юр. и факт. адрес
Телефон, email
ФИО контактного лица (директор, владелец, администратор)

Цели обработки персональных данных:

Предоставление фитнес-услуг
Ведение клиентской базы
Ведение кадрового учёта (если есть сотрудники)
Заключение и исполнение договоров
Регистрация в мобильном приложении
Проведение маркетинговых рассылок

Категории субъектов:

Клиенты (включая несовершеннолетних)
Сотрудники
Соискатели
Посетители сайта

Персональные данные, которые вы обрабатываете:
Список можно взять из раздела Какие данные считаются персональными – для Клиентов и Сотрудников (если они у Вас есть). Адаптируйте список под свой клуб.

Основания обработки:

Согласие клиента (в приложении)
Договор (оферта, абонементы)
Трудовой кодекс (для сотрудников)

Место хранения, ЦОД на территории РФ:
Москва, Научный проезд, д.20, стр.2 (Технопарк Слава, ЦОД Реконн)

Собственные сервера: Нет

Использование СКЗИ: Не используется

Меры по защите персональных данных (по ФЗ-152, ст. 18.1 и 19):
Пример формулировки для уведомления:

Назначен ответственный за персональные данные
Разработана и утверждена политика обработки персональных данных
Сотрудники ознакомлены с требованиями закона
Доступ к данным ограничен, ведётся контроль доступа
Используются организационные и технические меры защиты. Дано поручение на обработку персональных данных интернет сервису fitnes365
Политика размещена на сайте организации (если есть)

Сведения об обеспечении безопасности персональных данных:
Здесь пишут не “полный регламент безопасности”, а краткое описание организационных и технических мер, которые применяются в вашей системе. Вот пример стандартных и юридически корректных формулировок для этого раздела:

Разграничение прав доступа пользователей в CRM.
Идентификация и аутентификация пользователей (логин/пароль).
Антивирусная защита и межсетевые экраны на серверах.
Резервное копирование и возможность восстановления данных.
Шифрование каналов связи при передаче данных (SSL/TLS).
Физическая охрана и контроль доступа в дата-центр, где расположены серверы.
Ведение журналов регистрации действий пользователей.
Организационные меры — назначение ответственного за работу с персональными данными, локальные акты, обучение сотрудников.

Такой набор мер соответствует требованиям ст. 18.1 и 19 Федерального закона №152-ФЗ и Постановления Правительства РФ №1119.

Остались вопросы?

Мы готовы помочь. Напишите нам на почту support@fitness365.ru — проконсультируем по всем техническим вопросам.

(!)Важно(!) Данная статья носит информационно-рекомендательный характер.
В случае любых сомнений лучшим решением будет проконсультироваться с профессиональным юристом.

Руководство пользователя