Surf's Up is a surf school in Weligama, Sri Lanka, operated by WELIGAMA VIBE (PRIVATE) LIMITED. This app is the student's personal account: lesson booking, balance, schedule, chat with the school and the wave forecast.

• First and last name.
• Contact: phone number and/or Telegram username (for sign-in and communication).
• Date of birth (optional — for kids' rates and birthday greetings).
• Lesson history, lesson package balance and payments made at the school.
• Messages in the chat with the school.
• Photos and videos of your lessons, taken by our staff (see below).
• Your lesson diary: rating, mood and notes you write yourself.
• Achievements, surf quiz results and lesson statistics.
• A device token for push notifications, if you allow them on your phone.
• Comments you leave when booking a lesson.
• App usage statistics: which screens you opened, which buttons you tapped, how fast screens loaded and error texts — linked to your account (see below).

If you send an enquiry from the school's website (the «Book your surf trip» form — it is open to everyone and needs no account): your name, phone or WhatsApp, email, Telegram username, planned arrival and departure dates and the text of your message. The enquiry goes to the school staff chat in Telegram; it is not added to the app database.

We do NOT collect bank card details: payments and lesson package top-ups are handled by the school's administrator in person, not inside the app. We do not collect your location.

To run your account: book lessons, track your balance and package, show your schedule and reply in the chat; to improve the app (statistics — see below); to send you birthday wishes and occasionally offer a discount or a new service of the school; and to show lesson footage as described in «Photos and videos of your lessons». If you do not want such messages, tell us and we will stop. These messages are about our own school only. We show no third-party ads, run no ad networks, and never sell your data or pass it to anyone for their own advertising.

You sign in with a one-time code from our Telegram bot, linked to your username or phone number. The school sends notifications (schedule, new photos, chat replies) to you in Telegram.

Your account data is stored in a secured database (Supabase) with encryption and restricted access. Only school staff have access, strictly to do their job. Encrypted backups are made regularly and kept in two places: a private repository on GitHub and the school's Google Drive. Both copies are encrypted; the keys are held by the school only. The app itself is hosted on Vercel — like any web host, its server logs briefly record the IP address and browser of each request. In our own database we do not keep IP addresses as such: where we have to count attempts (sign-in, the enquiry form) we store a one-way fingerprint of the address, not the address itself. Separately: if you scan one of the school's printed QR codes, the short link records the scan — the code, the time, the country and city your provider reports, and a one-way fingerprint of the IP address (not the address itself). It is not linked to your account and we use it only to see which printed materials work. When you book a joint lesson, other students can find you by name: they only see your first name and the first letter of your last name.

Your phone keeps the sign-in pass (so you do not sign in every time), small settings of the app (which tips you have already seen, whether the Face ID lock is on) and the images the app has already loaded. None of this is sent anywhere — it stays on the device. Signing out removes the sign-in pass; the settings and the loaded images are removed when you delete the app from the phone.

Our staff film the lessons. The files are kept in the school's folders on Google Drive (for lessons before August 2026 — on Yandex.Disk); the app stores only a link to the folder of your lesson and opens it in a browser window on top of the app. Anyone holding the link can open the folder. Group-lesson footage is visible to all students of the school in the app (the «All lessons» section); it may also be shown on screens at the school and published in the school's channels and social media. Private and kids' lessons are shown only to the people who took them. Consent to filming is part of the offer you accept when booking. If you do not want to appear in publications, or want your footage removed, write to us in the chat or by email.

We send notifications about your lessons, new photos and chat replies through our Telegram bot and, if you allow it, as push notifications to your phone. For push we store a device token issued by Apple; it is linked to your account so that notifications reach exactly you. It is deleted together with your account; if you delete the app, Apple invalidates the token and we stop using it. You can turn notifications off at any time in your iPhone Settings.

The app records which screens were opened, which buttons were tapped, how fast a screen loaded and the text of technical errors, and links this to your account. We use it only to see what is inconvenient and what is broken, and to make the app better. This data is stored in our own database, is never sold and is never passed to anyone for their own purposes. We show no third-party ads and run no third-party analytics or tracking in the app. The only messages you may get from us are about our own school — see «Why we need this data». You can ask us to stop collecting usage statistics for your account at any time: write to us in the chat inside the app or to info@surfsup-matrix.club, and we will switch it off for you — the rest of the app keeps working as before.

You can lock the app with Face ID. The check is done by your iPhone; biometric data never leaves your device and never reaches us.

To run the service we use: Supabase (database), Vercel (hosting), Telegram (sign-in codes and messages), Apple (push notifications), Google Drive and Yandex.Disk (storage of lesson footage), GitHub and Google Drive (encrypted database backups), CARTO and OpenStreetMap (the spot map: your phone loads its images directly, as on any website), Apple Maps and Google Maps (they open when you tap the spot on the map in the app or the school's address on our website — on iPhone it is Apple Maps). Each of them processes the data only to provide us that service and is required to protect your data at a level no lower than described in this policy. We do not sell your data and do not pass it to anyone for advertising.

For as long as your student account is active. You can delete your account yourself, right in the app: open the Home screen, tap the pencil next to your name («Edit profile») and choose «Удалить аккаунт» (Delete account) — or scroll the Home screen to the very bottom, the same button is there. Everything is deleted except records we are legally required to keep (e.g. financial accounting). Accommodation and transfer records made by an administrator stay in the school's books; we will delete those on request too. The app deletes the links to your lesson footage; the files themselves in the school's folders we delete at your request. You can also ask us using the contacts below. One exception, honestly: encrypted backups of the whole database are kept on a schedule — weekly and monthly copies. Your data disappears from the live system at once, but it stays inside those sealed copies until they expire in turn. We never open a backup to look up a deleted account; a backup is only ever used to restore the system after a failure.

You can request a copy of the data we hold about you, ask us to correct it, or delete your account. Contact the school using the details below.

Kids' accounts are created by parents with the minimum required data (first and last name and, optionally, date of birth — for the kids' rate). We do not separately collect children's data and never use it for advertising.

For any data questions: the school's Telegram @surfsupoffical, email info@surfsup-matrix.club or the chat inside the app.

Surf’s Up — школа сёрфинга в Велигаме (Шри-Ланка). Это приложение — личный кабинет ученика: запись на уроки, баланс, расписание, чат со школой, прогноз волн.

• Имя и фамилия.
• Контакт: номер телефона и/или ник в Telegram (для входа и связи).
• Дата рождения (по желанию — для детских тарифов и поздравлений).
• История уроков, остаток пакета и оплаты, сделанные в школе.
• Сообщения в чате со школой.
• Фото и видео с ваших уроков, которые снимает школа (подробнее ниже).
• Ваш дневник: оценка урока, настроение и заметки, которые вы пишете сами.
• Достижения, результаты сёрф-квиза и статистика занятий.
• Адрес устройства для пуш-уведомлений, если вы их разрешили на телефоне.
• Комментарии, которые вы оставляете при записи на урок.
• Статистика работы приложения: какие экраны открывали, какие кнопки нажимали, за сколько загрузился экран и тексты ошибок — связана с вашим аккаунтом (подробнее ниже).

Если вы отправляете заявку с сайта школы (форма «Book your surf trip» — она открыта всем и аккаунт для неё не нужен): имя, телефон или WhatsApp, электронную почту, ник в Telegram, предполагаемые даты приезда и отъезда и текст вашего сообщения. Заявка уходит в рабочий чат школы в Telegram; в базу приложения она не попадает.

Мы НЕ собираем данные банковских карт: оплата и пополнение баланса проходят через администратора школы лично, а не внутри приложения. Геолокацию мы не собираем.

Чтобы вести ваш аккаунт: записывать на уроки, считать баланс и пакет, показывать расписание и отвечать в чате; чтобы улучшать приложение (статистика — см. ниже); чтобы поздравить вас с днём рождения и иногда предложить скидку или новую услугу школы; и чтобы показывать кадры с уроков так, как описано в разделе «Фото и видео с уроков». Не хотите таких сообщений — напишите нам, и мы перестанем. Эти сообщения — только про нашу школу. Чужой рекламы мы не показываем, рекламных сетей не используем, данные ваши не продаём и никому для их рекламы не передаём.

Вход в аккаунт — по коду из нашего Telegram-бота, привязанного к вашему нику или телефону. Уведомления (расписание, новые фото, ответы в чате) школа отправляет вам в Telegram.

Данные аккаунта хранятся в защищённой базе (Supabase) с шифрованием и ограниченным доступом. Доступ имеют только сотрудники школы для выполнения своей работы. Зашифрованные резервные копии делаются регулярно и хранятся в двух местах: в закрытом репозитории на GitHub и на Google Диске школы. Обе копии зашифрованы, ключи есть только у школы. Само приложение размещено на Vercel — как у любого хостинга, в его служебном журнале ненадолго остаётся адрес и браузер каждого запроса. В нашей собственной базе адресов как таковых нет: там, где нужно считать попытки (вход, форма заявки), хранится необратимый отпечаток адреса, а не сам адрес. Отдельно: если вы сканируете бумажный QR-код школы, короткая ссылка записывает переход — какой код, когда, страну и город по данным провайдера и необратимый отпечаток адреса (сам адрес не сохраняется). С вашим аккаунтом это не связано, нужно только чтобы понимать, какие печатные материалы работают. При записи на совместный урок другие ученики могут найти вас по имени: они видят только имя и первую букву фамилии.

На телефоне хранится пропуск входа (чтобы не входить каждый раз), мелкие настройки приложения (какие подсказки вы уже видели, включён ли замок Face ID) и картинки, которые приложение уже загрузило. Никуда это не отправляется — остаётся на устройстве. При выходе из аккаунта пропуск стирается; настройки и загруженные картинки уходят, когда вы удаляете приложение с телефона.

Съёмку на уроках делают наши сотрудники. Файлы лежат в папках школы на Google Диске (уроки до августа 2026 — на Яндекс.Диске); в приложении хранится только ссылка на папку вашего урока, она открывается окном поверх приложения. Папку может открыть любой, у кого есть ссылка. Съёмку групповых уроков видят все ученики школы в приложении (раздел «Все уроки»); её могут показывать на экранах в школе и публиковать в каналах и соцсетях школы. Съёмку индивидуальных и детских уроков видят только их участники. Согласие на съёмку — в оферте, которую вы принимаете при записи. Не хотите попадать в публикации или хотите убрать свои кадры — напишите нам в чат или на почту.

О ваших уроках, новых фото и ответах в чате мы сообщаем через наш Telegram-бот и, если вы разрешили, пуш-уведомлениями на телефон. Для пушей мы храним адрес устройства, который выдаёт Apple: он привязан к вашему аккаунту, чтобы уведомления приходили именно вам. Он удаляется вместе с аккаунтом; если вы удалите приложение, Apple сделает адрес недействительным, и мы перестанем его использовать. Выключить уведомления можно в любой момент в Настройках айфона.

Приложение записывает, какие экраны открывали, на какие кнопки нажимали, за сколько загрузился экран и текст технических ошибок, и связывает это с вашим аккаунтом. Мы смотрим это только чтобы понять, где неудобно и что сломалось, и сделать приложение лучше. Эти данные лежат в нашей собственной базе, мы их не продаём и никому не передаём для их целей. Чужой рекламы и сторонних счётчиков в приложении нет. Единственное, что мы можем вам написать, — про нашу же школу, см. раздел «Зачем нам эти данные». Вы можете в любой момент попросить нас не собирать эту статистику по вашему аккаунту: напишите в чат внутри приложения или на info@surfsup-matrix.club — мы выключим, остальное продолжит работать как раньше.

Кабинет можно закрыть на замок по Face ID. Проверку делает сам айфон: данные лица не покидают телефон и до нас не доходят.

Чтобы сервис работал, мы пользуемся: Supabase (база данных), Vercel (размещение), Telegram (коды входа и сообщения), Apple (пуш-уведомления), Google Диск и Яндекс.Диск (хранение съёмки с уроков), GitHub и Google Диск (зашифрованные резервные копии базы), CARTO и OpenStreetMap (карта спота: телефон сам загружает её изображения, как на любом сайте), Apple Карты и Google Карты (открываются, если нажать карту спота в приложении или адрес школы на нашем сайте; на айфоне это Apple Карты). Каждый из них обрабатывает данные только чтобы оказать нам эту услугу и обязан защищать ваши данные не ниже, чем описано в этой политике. Мы не продаём ваши данные и не передаём их никому для рекламы.

Пока действует ваш аккаунт ученика. Удалить аккаунт можно самостоятельно, прямо в приложении: откройте Главную, нажмите карандаш рядом с именем («Редактировать профиль») и выберите «Удалить аккаунт» — или пролистайте Главную в самый низ, там та же кнопка. Удалится всё, кроме сведений, которые мы обязаны хранить по закону (например, финансовый учёт). Записи о проживании и трансферах, которые оформлял администратор, остаются в учёте школы; по запросу удалим и их. Из приложения удаляются ссылки на съёмку, сами файлы в папках школы удалим по вашей просьбе. Можно и просто попросить нас по контактам ниже. Честная оговорка: зашифрованные резервные копии всей базы делаются по расписанию — недельные и месячные. Из рабочей системы ваши данные исчезают сразу, но внутри этих запечатанных копий остаются, пока не истечёт срок самой копии. Копии мы не открываем, чтобы что-то в них посмотреть, — они нужны только чтобы восстановить систему после сбоя.

Вы можете запросить, какие данные о вас у нас есть, исправить их или удалить аккаунт. Для этого свяжитесь со школой по контактам ниже.

Детские аккаунты заводят родители и указывают минимально необходимые данные (имя, фамилия и, по желанию, дата рождения — для детского тарифа). Отдельно детские данные мы не собираем и не используем для рекламы.

По любым вопросам о данных: Telegram-канал школы @surfsupoffical, почта info@surfsup-matrix.club или чат внутри приложения.