История вашего пульса, сна и вариабельности сердечного ритма (ВСР) — это персональные данные, и во многих странах и регионах закон позволяет запросить у компании, которая их хранит, копию в установленный срок, как правило бесплатно. В ЕС эта копия должна включать все персональные данные, которые обрабатывает компания, а не их сводку. Что компания хранит после того, как вы перестали платить, — другой вопрос: это определяют её собственные условия, и некоторые удаляют неиспользуемые аккаунты через два-три года.
В этом руководстве рассказано, что крупные сервисы говорят о судьбе ваших данных, что даёт закон в каждом регионе, как запросить копию и как сохранить полученное. Условия использования, политики конфиденциальности и справочные страницы компаний, а также тексты законов мы прочитали 22 октября 2026 года. Цитаты из английских документов даны в нашем переводе. Это общая информация о законодательстве, а не юридическая консультация.
Где хранятся данные с ваших устройств
Ваши данные проходят не более чем через три места:
- Часы, кольцо или браслет. Кольцо или браслет хранит показания, пока телефон их не заберёт. RingConn пишет, что Gen 3 «хранит до 10 дней данных без синхронизации» (RingConn Support).
- Телефон. Некоторые приложения хранят данные там. Приложение «Здоровье» хранит их на iPhone и, если вы пользуетесь iCloud, со сквозным шифрованием, поэтому ключей у Apple нет (Apple Support, обзор безопасности данных iCloud).
- Серверы компании. Многие сервисы загружают ваши показания и рассчитывают оценки у себя. Справочный центр WHOOP связывает с подпиской все три шага: «После окончания подписки WHOOP больше не будет собирать, загружать и анализировать ваши биометрические данные» (WHOOP Support).
Законы о защите данных не решают, кому эти данные принадлежат. Вместо этого они дают вам права на них: видеть данные и получать их копию (статья 15 Общего регламента по защите данных, GDPR), требовать удаления (статья 17) и переносить предоставленные вами данные в другой сервис (статья 20). Некоторые компании идут дальше в собственных формулировках. В политике конфиденциальности Ultrahuman сказано: «Вы владеете своими данными и контролируете то, как мы их используем», а в политике Samsung для США — «Ваша персональная информация принадлежит вам».
Что происходит с данными, когда вы перестаёте платить
Когда вы перестаёте платить
Из собственных документов каждой компании, 22 и 24 октября 2026 г.
-
WHOOP Для полноценной работы приложения нужна подписка
- Прошлые данные, без оплаты
- Документы компании противоречат друг другу. Справочный центр: да. Условия: ваш контент больше недоступен «через Сервисы», но можно запросить копию.
- Экспорт, без оплаты
- Не указано. WHOOP не сообщает, работает ли экспорт в приложении после окончания подписки.
- Срок удаления
- Не указано. Срок не указан. Условия позволяют WHOOP удалить ваш контент «из наших действующих баз данных», когда соглашение прекращается.
- Запросить копию
- privacy.whoop.com · privacy@whoop.com
-
Oura Для полноценной работы приложения нужна подписка
- Прошлые данные, без оплаты
- Частично. Только три ежедневные оценки: «Readiness», «Activity» и «Sleep».
- Экспорт, без оплаты
- Да. CSV из Membership Hub, «даже без подписки». Для API подписка нужна.
- Срок удаления
- Не указано. Данные хранятся, пока аккаунт активен; для неиспользуемых аккаунтов срок не указан.
- Запросить копию
- dataprotection@ouraring.com
-
Garmin Connect Необязательная подписка
- Прошлые данные, без оплаты
- Да. Приложению подписка не нужна. При запуске Connect+ Garmin заявила, что все существующие функции и данные «останутся бесплатными».
- Экспорт, без оплаты
- Да. Весь аккаунт в ZIP-архиве, из Account Management Center.
- Срок удаления
- Да. Удаляется через 2 года без активности в аккаунте. Ношение часов не считается.
- Запросить копию
- privacy@garmin.com · euprivacy@garmin.com
-
Google Health (Fitbit) Необязательная подписка
- Прошлые данные, без оплаты
- Не указано. Google Health Premium необязателен. Данные коуча сохраняются после его окончания; что ещё меняется, Google не сообщает.
- Экспорт, без оплаты
- Да. Google Takeout с выбранным Google Health.
- Срок удаления
- Да. Аккаунты Fitbit, не перенесённые в Google: Google назначил начало удаления на 15 июля 2026 г. Аккаунт Google, которым не пользуются 2 года, может быть удалён.
- Запросить копию
- support.google.com/policies/troubleshooter/7575787
-
Samsung Health Без подписки
- Прошлые данные, без оплаты
- Да. У Samsung Health нет подписки.
- Экспорт, без оплаты
- Да. «Download personal data» в приложении. Samsung не перечисляет файлы.
- Срок удаления
- Да. Аккаунт Samsung, которым не пользуются 24 месяца, может быть удалён вместе с данными после предупреждения по электронной почте.
- Запросить копию
- samsung.com/request-desk
-
Apple Health Без подписки
- Прошлые данные, без оплаты
- Да. Подписки нет. Данные Apple Health хранятся на iPhone.
- Экспорт, без оплаты
- Да. «Export All Health Data» в формате XML, на iPhone.
- Срок удаления
- Да. Аккаунт iCloud, неактивный 1 год, может быть закрыт после уведомления за 30 дней.
- Запросить копию
- privacy.apple.com
-
Withings Необязательная подписка
- Прошлые данные, без оплаты
- Да. Withings+ необязателен, и устройства «продолжают нормально работать» без него. Withings пишет, что у вас всегда есть прямой доступ к своим данным, какой бы ни была подписка.
- Экспорт, без оплаты
- Да. CSV-архив по электронной почте, из приложения.
- Срок удаления
- Документы компании противоречат друг другу. Условия для ЕС: удаление через 3 года без входа в аккаунт, без использования устройства и без клика в письме Withings. Условия для США: аккаунт могут деактивировать через 5 лет без входа. Политика конфиденциальности: 10 лет.
- Запросить копию
- privacy@withings.com
-
Welltory Необязательная подписка
- Прошлые данные, без оплаты
- Частично. Бесплатный тариф: последние 30 дней. Более старые данные удаляются, если вы не экспортируете их заранее.
- Экспорт, без оплаты
- Да. Архив из веб-приложения, с тем же логином.
- Срок удаления
- Да. Удаление через 3 года неактивности.
- Запросить копию
- support@welltory.com
-
Polar Flow Необязательная подписка
- Прошлые данные, без оплаты
- Да. Polar Flow бесплатен. Подписка Fitness Program лишь добавляет программу тренировок.
- Экспорт, без оплаты
- Да. Download your data на account.polar.com — без сна и активности, которые Polar вычисляет своими алгоритмами. Тренировки и RR-интервалы — с сайта Flow.
- Срок удаления
- Не указано. Хранятся, пока аккаунт Flow активен; срока для неиспользуемых аккаунтов нет.
- Запросить копию
- privacy@polar.com
-
Ultrahuman Необязательная подписка
- Прошлые данные, без оплаты
- Да. Кольцу подписка не нужна: «пожизненный доступ к кольцу и вашим данным». PowerPlugs и Ultrahuman Max необязательны.
- Экспорт, без оплаты
- Частично. Кнопки скачивания нет. Персональный API-токен читает ваши ежедневные показатели — это путь для программистов; на iPhone копию хранит «Здоровье».
- Срок удаления
- Не указано. Срока для неиспользуемых аккаунтов нет. Если вы закроете аккаунт, ваши данные могут удалить.
- Запросить копию
- legal@ultrahuman.com
Десять карточек, по одной на сервис, в каждой по четыре факта: можно ли по-прежнему видеть прошлые данные без оплаты, работает ли экспорт без оплаты, указывает ли компания, когда удаляется неиспользуемый аккаунт, и куда обратиться за копией. Каждый факт начинается с ответа словами.
WHOOP: справочный центр и Условия говорят разное
У WHOOP нет бесплатного тарифа: в Условиях использования сказано, что пользоваться сервисом можно только с действующей подпиской, а когда подписка заканчивается, данные с браслета больше не загружаются. О прошлых данных собственные документы WHOOP противоречат друг другу:
- Статья справочного центра от 22 октября 2026 года отвечает на вопрос «Можно ли после отмены по-прежнему видеть прошлые данные?» так: «Да, вы сможете просматривать прошлые данные, но новые после отмены записываться не будут».
- В Условиях использования от 3 августа 2026 года сказано, что когда подписка заканчивается, ваш контент «перестанет быть вам доступен через Сервисы, но вы можете запросить копию своих данных». Там же сказано, что при прекращении соглашения WHOOP «может удалить связанный с ним Ваш контент из наших действующих баз данных» и что у неё «нет обязанности хранить какой-либо Ваш контент».
Работает ли экспорт в приложении WHOOP после окончания подписки, компания не сообщает, поэтому делайте экспорт до этого момента. Шаги описаны в ответе на вопрос Что будет с данными WHOOP, если отменить подписку?
Oura: три оценки, но экспорт по-прежнему работает
Без подписки, по словам Oura, «вы сможете видеть только три ежедневные оценки Oura („Readiness“, „Activity“ и „Sleep“)», а также заряд батареи, профиль и настройки. При отмене ваши данные не удаляются, и «даже без подписки вы можете экспортировать все свои данные Oura в формате CSV через Membership Hub». Для API подписка нужна (Oura Member Care). Согласно политике конфиденциальности Oura, данные измерений хранятся «только пока ваш аккаунт Oura активен». Подробнее — в ответе на вопрос Что будет с данными Oura, если отменить подписку?
Отдельная страница для каждого сервиса
На каждой из этих страниц описано, что, по словам сервиса, происходит с вашими данными, если отменить подписку или перестать им пользоваться:
- Что будет с данными WHOOP, если отменить подписку?
- Что будет с данными Oura, если отменить подписку?
- Что будет с данными, если отказаться от Garmin?
- Что будет с данными Fitbit, если отменить подписку?
- Что будет с данными, если уйти из Samsung Health?
- Что будет с данными Withings при отмене подписки?
- Что будет с данными Welltory при отмене подписки?
- Что будет с данными Polar, если отказаться от Flow?
- Что будет с данными Ultrahuman при отмене подписки?
Сроки удаления неиспользуемых аккаунтов
Несколько компаний удаляют неиспользуемые аккаунты или оставляют за собой такое право, и «неиспользуемый» может означать не то, чего вы ждёте:
- Garmin: «Если в вашем аккаунте Garmin на всех наших сайтах и в сервисах не было действий не менее 2 лет, аккаунт будет удалён». Действиями считаются вход, загрузка данных с устройства, покупки, взаимодействие с маркетинговыми письмами Garmin и участие в сообществе; «Использование устройства» Garmin называет среди того, что не считается. Часы, которые носят каждый день, но ни разу не синхронизируют, аккаунт не сохранят. Garmin сначала несколько раз предупреждает по электронной почте, а «после удаления данные восстановить невозможно» (Garmin Support).
- Samsung: «Аккаунты, которые не использовались 24 месяца, будут считаться неактивными». После письма аккаунт «и все или некоторые связанные с ним данные могут быть удалены» (Samsung Support).
- Welltory: «После трёх лет бездействия ваши персональные данные будут удалены». На бесплатном тарифе история ограничена последними 30 днями, и более старые данные удаляются, если не экспортировать их заранее (Welltory).
- Withings: её документы называют три срока. В её Условиях использования для ЕС сказано, что «WITHINGS удаляет любой неактивный аккаунт», то есть аккаунт, в который больше трёх лет не входили ни напрямую, ни с устройств Withings и в котором за это время не нажимали ни одной ссылки в письмах Withings; удаление следует после уведомления за 90 дней. В Условиях для США сказано, что «WITHINGS может деактивировать аккаунт, если пользователь не входил в него в течение пяти (5) лет». По её политике конфиденциальности аккаунт признаётся неактивным и удаляется после 10 лет такого же молчания. По состоянию на 24 октября 2026 года на сайте Withings были опубликованы все три документа; ориентируйтесь на самый короткий срок, который может к вам относиться.
- Apple: условия iCloud позволяют Apple закрыть аккаунт, который не использовался год, после уведомления по электронной почте за 30 дней и удалить его данные «по истечении некоторого времени», срок которого в условиях не указан.
- Google: Google «оставляет за собой право удалить неактивный аккаунт Google, а также связанные с ним действия и данные» после как минимум двух лет без активности в сервисах Google (Google Account Help).
Когда закрывается сам сервис
Сервисы уже закрывались — с фиксированными датами и коротким сроком на скачивание данных:
- Аккаунты Fitbit перенесены в аккаунты Google. «После 19 мая 2026 года вы больше не сможете пользоваться Fitbit со своим аккаунтом Fitbit». Для аккаунтов, которые не перенесли, Google назначил 15 июля 2026 года днём, с которого начнёт удалять данные (Google Health Help).
- Microsoft Health Dashboard — сервис, на котором работал браслет Microsoft Band: «Все данные в Microsoft Health Dashboard будут удалены 31 мая 2019 года». Владельцы Band могли пользоваться браслетом без его веб-функций (Microsoft Support).
- Suunto Movescount закрылся после 10 января 2022 года. После этого «вы не сможете пользоваться Movescount или импортировать из него историю тренировок» (Suunto).
- Endomondo закрыт 31 декабря 2020 года. Перенос в MapMyRun был возможен до 15 февраля 2021 года, а данные, которые владелец не удалил сам, должны были удалить после 31 марта 2021 года (Endomondo Support, архивная копия).
- Сайт Polar polarpersonaltrainer.com закрылся 31 декабря 2019 года: «Если вы не успели перенести свои данные, они, к сожалению, теперь удалены и восстановлению не подлежат» (Polar, Privacy FAQ).
У каждого закрытия были дата и срок на скачивание, после которого данные удаляли или перенести их было уже нельзя.
Ваши права по регионам
ЕС и ЕЭЗ: GDPR
GDPR применяется к любой компании, которая предлагает товары или услуги людям в ЕС, где бы она ни находилась и платите вы или нет (статья 3(2)). Данные о здоровье — особая категория (статья 9).
- Копия ваших данных (статья 15). Вы можете получить подтверждение, что компания обрабатывает ваши данные, их копию и сведения: о целях, о получателях, о сроке хранения, а если данные получены не от вас — об источнике. Если вы подали запрос в электронном виде, копия приходит «в обычно используемой электронной форме», если вы не просите иного. Вы можете запросить названия получателей, а не только их категории, если только их нельзя установить (Суд ЕС, C-154/21).
- Бесплатно и без объяснения причин. Первая копия бесплатна, и компания не вправе спрашивать, зачем она вам нужна (Суд ЕС, C-307/22). Отказать или взять плату она может только за запросы, которые «явно необоснованны или чрезмерны», и доказывать это должна сама компания (статья 12(5)). Суд ЕС признал, что чрезмерным может быть даже первый запрос, но лишь в исключительных случаях: компания должна доказать, что его подали с намерением злоупотребить правом, например чтобы искусственно создать повод для требования о компенсации (C-526/24). При обоснованных сомнениях она вправе попросить подтвердить личность (статья 12(6)).
- Один месяц. Компания должна ответить «без неоправданной задержки и в любом случае в течение одного месяца с момента получения запроса». Срок можно продлить ещё на два месяца, «если это необходимо с учётом сложности и числа запросов», но сообщить об этом и объяснить причину нужно в первый месяц (статья 12(3)).
- Право на переносимость данных (статья 20). Данные, которые вы предоставили, можно получить «в структурированном, обычно используемом и машиночитаемом формате» и передать другому сервису. Это право действует, когда обработка основана на вашем согласии или на договоре и выполняется автоматизированно.
- Жалоба (статья 77) в надзорный орган по месту вашего жительства, работы или там, где возникла проблема. Список органов каждой страны ведёт Европейский совет по защите данных (EDPB).
Великобритания
UK GDPR сохраняет те же права, и организация «должна ответить без неоправданной задержки и в течение одного месяца» (ICO). Закон Data (Use and Access) Act 2025 («О данных: использование и доступ») внёс три изменения:
- Вы вправе получить то, что компания найдёт при «разумном и соразмерном поиске»; это правило считается действующим с 1 января 2024 года (раздел 78).
- С 5 февраля 2026 года, если компании разумно требуется больше сведений, чтобы определить, что охватывает ваш запрос, и она просит их у вас, месячный срок останавливается до вашего ответа (раздел 76, вступил в силу с этой даты по Commencement Regulations 2026). ICO в рекомендациях для организаций добавляет, что заставить человека сузить рамки запроса они не могут.
- С 19 июня 2026 года вы вправе подать жалобу в саму компанию, и она должна подтвердить её получение в течение 30 дней (раздел 103). Пожаловаться в ICO по-прежнему можно, но ICO в большинстве случаев советует сначала обратиться в компанию.
Калифорния
Закон Калифорнии о защите частной жизни потребителей (California Consumer Privacy Act, CCPA) распространяется на коммерческие компании, которые ведут бизнес в Калифорнии и превышают хотя бы один из трёх порогов: годовая выручка более 25 млн долларов США (с поправкой на инфляцию); покупка, продажа или передача персональной информации 100 000 и более потребителей или домохозяйств; получение половины и более выручки от продажи или передачи такой информации (Гражданский кодекс, раздел 1798.140).
- Вы можете запросить «конкретные элементы персональной информации», которые компания собрала о вас (раздел 1798.110); выводы, сделанные о вас, тоже считаются персональной информацией (раздел 1798.140(v)).
- У компании 45 дней, которые можно один раз продлить ещё на 45, если это обоснованно необходимо и она сообщила об этом в первые 45 дней. Ответ бесплатный и машиночитаемый, «насколько это технически возможно» (раздел 1798.130).
- По умолчанию ответ охватывает последние 12 месяцев. Вы можете запросить данные с 1 января 2022 года; компания, которая заявляет, что это невозможно или несоразмерно, должна подробно объяснить почему (CCPA Regulations §7024(h)).
- Компания не обязана отвечать чаще двух раз в 12 месяцев (раздел 1798.130(b)).
Жалобы подают в Калифорнийское агентство по защите частной жизни или генеральному прокурору штата. В других штатах США свои законы: например, Garmin пишет, что жители «любого штата США с комплексным законом о конфиденциальности» могут запросить доступ, исправление, удаление или переносимую копию (Garmin).
Бразилия, Япония, Южная Корея и Россия
| Место и закон | Что можно запросить | Срок | Если не отвечают |
|---|---|---|---|
| Бразилия, LGPD | Доступ, бесплатно (ст. 18). Полная электронная копия при обработке на основании согласия или договора на условиях, которые определяет ANPD (ст. 19 §3) | Упрощённый ответ сразу; ясные и полные сведения в течение 15 дней с момента запроса (ст. 19) | Обращение в ANPD, орган по защите данных |
| Япония, APPI | Раскрытие ваших данных, в том числе в электронной форме (ст. 33). Допускается разумная плата (ст. 38) | «Без промедления»; число дней не указано | Справочная линия Комиссии по защите персональной информации |
| Южная Корея, PIPA | Просмотр ваших данных (ст. 35). Право на передачу данных дальше (ст. 35-2) пока действует только для назначенных операторов, например некоторых медицинских организаций, мобильных операторов и энергоснабжающих компаний, и не распространяется на данные, которые компания получила сама на их основе | 10 дней (указ о применении закона, ст. 41); компания может отложить ответ по обоснованной причине, уведомив вас (ст. 35) | Заявление в Комиссию по защите персональной информации (ст. 62) |
| Россия, 152-ФЗ | Сведения об обработке, включая сами данные (ст. 14). Права на электронную копию или на переносимость данных мы не нашли | 10 рабочих дней, плюс до 5 при мотивированном уведомлении (ст. 20) | Уполномоченный орган по защите прав субъектов персональных данных или суд (ст. 17) |
Текст российского закона взят из сводной редакции, опубликованной «КонсультантПлюс», потому что официальный портал был недоступен. В Корее с 20 февраля 2027 года право на передачу данных вам распространится и на крупные компании, определяемые по выручке и числу пользователей (указ о применении закона, ст. 42-2).
На диаграмме ниже месяц показан как 30 дней, а рабочие дни в России — как пять в неделю без учёта праздников, поэтому 10 рабочих дней отображаются как 14 календарных, а 15 — как 21.
Столбчатая диаграмма сроков ответа в календарных днях, по одному столбцу на юрисдикцию, от 0 до 90 дней. ЕС и ЕЭЗ (GDPR): 1 месяц, до 3 при необходимости из-за сложности или количества запросов. Великобритания (UK GDPR): 1 месяц, до 3 при необходимости из-за сложности или количества запросов. Калифорния (CCPA): 45 дней, до 90 при разумной необходимости, с уведомлением. Бразилия (LGPD): 15 дней на полные сведения. Южная Корея (PIPA): 10 дней; можно отложить, указав причину. Россия (152-ФЗ): 10 рабочих дней, до 15 с мотивированным уведомлением. Япония (APPI): «Без промедления»: число дней не указано.
Копия — это все ваши данные, а не сводка из приложения
Если приложение показывает пульс по минутам за несколько лет и берёт его с серверов компании, значит, эти данные у компании есть и она их обрабатывает. По нашему прочтению, по GDPR копия, которую вы запрашиваете, должна тогда содержать их с такой же детализацией, а не дневные средние. Это прочтение опирается на три источника:
- Суд Европейского союза. Копия — это «точное воспроизведение или переписывание оригинала», поэтому «чисто общего описания данных» недостаточно. «Копия должна, следовательно, содержать все обрабатываемые персональные данные» (C-487/21, пункты 21 и 32) и «полно и точно воспроизводить эти данные» (пункт 39). Персональные данные включают «всю информацию, полученную в результате обработки» (пункт 26); по той же логике сюда входят и оценки, рассчитанные по вашим показаниям.
- Данные о здоровье в виде сводки. В деле о медицинских картах Суд указал, что предоставление «простой сводки или подборки этих данных … в агрегированном виде» может создать риск того, что «некоторые значимые данные будут упущены или воспроизведены неверно» (C-307/22, пункт 78).
- Европейский совет по защите данных. Доступ «нельзя понимать как предоставление лишь сводки данных» (Guidelines 01/2022, пункт 23). Он включает необработанные данные с подключённых устройств и «результаты оценки состояния здоровья» (пункт 97). А «использование инструментов самообслуживания никогда не должно ограничивать объём получаемых персональных данных» (пункт 138): кнопка экспорта не заменяет полную копию.
Почему это важно, показывает документация Oura для разработчиков. В ней сказано, что средний пульс за ночь «рассчитан по 30-секундным отсчётам», а «приложение показывает среднее из агрегированных 5-минутных отсчётов пульса» (Oura API). Компания работает с более подробными данными, чем показывает приложение, и при таком прочтении полная копия должна включать то из них, что у Oura ещё есть. Как долго Oura хранит 30-секундные данные, она не сообщает.
Три места, сверху вниз: на носимом устройстве, на вашем телефоне и на серверах компании. На серверах три слоя, каждый нарисован с меньшим числом штрихов, чем предыдущий. Для каждого слоя отмечены три способа: кнопка экспорта, копия по ст. 15 и переносимость данных по ст. 20. На носимом устройстве, Показания, ожидающие синхронизации: Кольцо или браслет хранит данные, пока телефон их не заберёт: до 10 дней у RingConn Gen 3. Ни у одной компании их пока нет. Кнопка экспорта: Не охватывает. Копия: Не охватывает. Переносимость: Не охватывает. На вашем телефоне, Данные, которые хранятся только на телефоне: Apple Health хранит данные на iPhone и со сквозным шифрованием в iCloud. Экспортируйте их с телефона: компания может скопировать только то, что у неё есть. Кнопка экспорта: Охватывает. Копия: Зависит от случая. Переносимость: Зависит от случая. На серверах компании, Подробные отсчёты: То, с чем работает компания. API Oura описывает пульс во сне «на основе 30-секундных отсчётов». Кнопка экспорта: Зависит от случая. Копия: Охватывает. Переносимость: Охватывает. На серверах компании, Что показывает приложение: Значения, рассчитанные по отсчётам. Oura сообщает, что приложение показывает пульс, «агрегированный по 5 минутам». Кнопка экспорта: Зависит от случая. Копия: Охватывает. Переносимость: Зависит от случая. На серверах компании, Оценки: Одно число в день, рассчитанное компанией: «Readiness», «Recovery», оценка сна. Кнопка экспорта: Зависит от случая. Копия: Охватывает. Переносимость: Не охватывает.
Пределы этого довода
- Дела о часах, кольце или браслете пока нет. Дело C-487/21 касалось кредитного агентства, а C-307/22 — стоматолога. Применение их к кольцу или часам — довод по аналогии, а не решение суда, и компания или надзорный орган могут смотреть на это иначе.
- Только данные, которые у компании ещё есть. Компания не обязана предоставлять данные, которых у неё уже нет, например после срока хранения. Удалять данные, чтобы избежать запроса, она не вправе (EDPB, пункты 37 и 39).
- Только данные, которые обрабатывает компания. Если подробные данные лежат только в вашем телефоне, как в приложении «Здоровье», у компании копировать нечего. Экспортируйте их из телефона.
- Крупные запросы. Если у компании о вас очень много данных, она может попросить уточнить, о какой информации или обработке ваш запрос, прежде чем выдавать ответ (преамбула 63 GDPR). EDPB называет компании, которые «собирают данные о частых действиях субъекта данных в течение длительного времени» (пункт 35). Если назвать в запросе данные и даты, этого обмена письмами не будет.
- Формат. Статья 15 требует обычно используемую электронную форму; EDPB признаёт, что для доступа может подойти даже PDF (пункт 156). Машиночитаемый файл — право по статье 20, и оно охватывает предоставленные вами данные, например «сердцебиение, отслеживаемое носимым устройством», но не оценки, которые компания выводит сама. Для таких данных, если в отрасли нет общепринятого формата, Рабочая группа по статье 29 просила открытые форматы, например XML, JSON и CSV, «с максимально возможной детализацией» (WP242).
- Коммерческая тайна. Компания вправе защищать свой алгоритм, но «результатом этих соображений не должен быть отказ предоставить всю информацию» (преамбула 63 GDPR).
- За пределами ЕС. Великобритания ограничивает поиск тем, что разумно и соразмерно. Калифорния по умолчанию охватывает «конкретные элементы персональной информации» за 12 месяцев, и компания не обязана отвечать чаще двух раз в 12 месяцев.
Как запросить копию
Напишите по адресу из политики конфиденциальности компании (на рисунке выше они указаны для десяти сервисов) или воспользуйтесь её формой для запросов о конфиденциальности, и сохраните копию отправленного с датой. Конструктор письма с запросом данных на этом сайте соберёт эти пункты в письмо.
Дальше:
- Запишите срок. Один месяц в ЕС и Великобритании; 45 дней в Калифорнии. Считайте с того дня, когда компания получила запрос, а в Великобритании — с того дня, когда у неё есть всё необходимое для подтверждения вашей личности.
- Быстро отвечайте на проверку личности. Компания может попросить подтвердить, кто вы, и до вашего ответа отсчёт срока может приостановиться.
- Сверьте то, что пришло, со своим списком. Если не хватает типов данных или дат, напишите снова и назовите их.
- Если ответа нет после срока, отправьте напоминание, в котором процитируете первый запрос и его дату. Затем в ЕС пожалуйтесь в орган по защите данных; в Великобритании — в компанию, а потом в ICO, как советует ICO; в Калифорнии — в Калифорнийское агентство по защите частной жизни или генеральному прокурору.
Что вы получите и как это открыть
Большинство компаний присылают ZIP-архив — ссылкой по электронной почте или в своём портале конфиденциальности. Скачайте его, пока ссылка не перестала действовать: ссылки на экспорт WHOOP действуют 7 дней (WHOOP Support).
- CSV: таблица, которая открывается в любой программе для электронных таблиц. Проверьте единицы: Oura указывает длительности в секундах.
- JSON: структурированный текст, который можно прочитать в текстовом редакторе или браузере.
- FIT: двоичный формат Garmin для тренировок и ежедневных файлов самочувствия. В набор инструментов FIT SDK от Garmin входит FitCSVTool — «программа командной строки для преобразования двоичных файлов FIT в читаемые текстовые файлы» (Garmin Developers). Инструменты распространяются по лицензии Garmin FIT Protocol License.
- XML: экспорт приложения «Здоровье». Его главный файл,
export.xml, может быть очень большим.
Что содержит экспорт каждой платформы, объясняет руководство Как экспортировать данные ВСР с любого устройства, а конвертер RR превращает файл с интервалами между ударами в простой список прямо в браузере, не загружая файл на сервер.
Как хранить архив, чтобы он оставался пригодным
- Не меняйте оригинал. Сохраните архив ровно таким, каким он пришёл, и назовите по дате и сервису, например
2026-10-22_whoop_export.zip; работайте только с копиями. - Запишите контрольную сумму рядом, например командой
shasum -a 256 2026-10-22_whoop_export.zip > 2026-10-22_whoop_export.zip.sha256, и время от времени проверяйте её. Контрольная сумма показывает, изменился ли файл (NDSA, рекомендации по проверке неизменности). - Держите рабочую копию в открытых форматах. Распакуйте архив, преобразуйте файлы FIT в CSV, а CSV, JSON и XML оставьте как были.
- На каждый экспорт заведите папку с датой:
| Папка или файл | Что в ней лежит |
|---|---|
health-data/whoop/2026-10-22/ | Один экспорт, по сервису и дате |
original/ | Архив в том виде, в каком он пришёл, и его файл .sha256 |
extracted/ | Распакованные и преобразованные файлы |
README.txt | Что это за файлы |
- Напишите README в каждой папке: устройство и версия приложения, единицы, к какому показателю ВСР относятся значения (у WHOOP это RMSSD RMSSD Среднеквадратичное значение разностей соседних NN-интервалов: показатель ВСР в миллисекундах, построенный на том, насколько каждый интервал между ударами отличается от следующего. В основном отражает активность блуждающего нерва. Подробнее: RMSSD , у Apple — SDNN SDNN Стандартное отклонение всех NN-интервалов записи, в миллисекундах. Показывает общую вариабельность; его значение сильно зависит от длительности записи. Подробнее: SDNN ) и часовой пояс (WHOOP Support, Apple Health). Без этой заметки значения из разных сервисов сравнивать нельзя.
- Держите три копии: «Храните 3 копии любого важного файла: 1 основную и 2 резервные», на носителях двух видов, и одну копию вне дома (US-CERT, Data Backup Options).
- Шифруйте резервные копии. Эти файлы — данные о здоровье.
- Экспортируйте по расписанию, раз в несколько месяцев, а не только когда уходите. Сроки удаления, закрытие сервисов и истекающие ссылки оставят у вас лишь те копии, которые вы уже сделали.
Эта страница — общая информация о законодательстве о защите данных, а не юридическая консультация.