Политика обработки персональных данных

Настоящая Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и описывает, какие данные собирает приложение AI-Диетолог, как они используются, кому передаются и как пользователь может их контролировать.

Согласие вы даёте галочкой при регистрации (при входе через Telegram — на коротком экране перед созданием аккаунта); без неё аккаунт не создаётся. Для необязательных целей — статистики и улучшения распознавания — на той же форме свои выключатели; выключите — эти данные не обрабатываем; изменить можно в любой момент в «Мои данные».

1. Какие данные мы собираем

Вход и защита аккаунта

• Адрес электронной почты и отметка, подтверждён ли он; новый адрес при смене почты хранится до подтверждения.
• Пароль — только в виде необратимого хэша (scrypt), сам пароль не хранится.
• Если вы включили вход по коду из приложения (двухфакторную аутентификацию) — секрет для приложения-аутентификатора в зашифрованном виде и хэши одноразовых кодов восстановления.
• Запомненные браузеры — если при входе вы отметили «Запомнить этот браузер»: название браузера и операционной системы (например, «Chrome · Android»), даты добавления и последнего входа. IP-адрес в этом списке не хранится.
• Если вы входите через Telegram или привязали бота — идентификатор Telegram (имя пользователя не сохраняется).

Профиль

• Цель, режим (с подсчётом калорий или «Тарелка»), пол, год рождения, рост, вес, уровень активности, дневная норма, часовой пояс, имя для приветствия и диаметр вашей обычной тарелки (необязательно).
• Замеры: вес, талия, бёдра, заметка; фото прогресса (по желанию; хранятся только на сервере приложения, доступны только вам, метаданные снимаются на устройстве, поставщикам ИИ не передаются).
• Место приёма пищи — «дом», «работа» или «другое», если вы дали согласие и включили «Определять место приёма» в настройках дневника или отметили место сами. Определяется на вашем телефоне: вы один раз отмечаете, где дом и где работа, телефон запоминает эти точки у себя и при записи приёма сравнивает с ними свою геопозицию. Координаты на сервер не передаются и у нас не хранятся — приёму достаётся только слово. По умолчанию выключено. Время и версию текста согласия храним; они входят в выгрузку.
• Фото профиля — если вы его загрузили: копия не больше 256 × 256 пикселей, без служебных данных (геометки, модели телефона) — их удаляет наш сервер; оригинал не хранится. Загружайте своё фото; фото других людей — только с их согласия.

Данные о здоровье — только с отдельным согласием

Эти сведения относятся к специальной категории персональных данных (данные о состоянии здоровья, ст. 10 152-ФЗ). Приложение не требует их для работы: вы указываете их сами, если хотите, чтобы нормы и подсказки их учитывали. Для них нужно отдельное согласие — галочка «Даю согласие на обработку данных о здоровье для расчёта норм и предупреждений» при первом вводе (заранее она не отмечена); без неё эти данные не сохраняются. Дата согласия хранится в профиле и входит в экспорт.

• Аллергии и непереносимости — чтобы предупреждать об аллергенах в распознанных блюдах и продуктах.
• Менструальный цикл (дата начала последних месячных, длина цикла и месячных; раздел «Профиль → Цикл») — чтобы показывать фазу цикла и учитывать её в дневных нормах.
• Беременность и кормление грудью (отметки там же) — чтобы изменить дневные нормы энергии, воды, железа, фолатов, витамина B12 и других нутриентов.

Эти сведения хранятся на сервере приложения. Цикл, беременность и кормление грудью поставщикам ИИ не передаются — коуч получает только итог дня против ваших норм. Список аллергий тоже не передаётся, но предупреждение «возможен ваш аллерген» у конкретного приёма может попасть в запрос совета «Как улучшить» к Yandex AI Studio. Если вы привязали бота Telegram, в его ответе на снимок может быть предупреждение о вашем аллергене с его названием — такие сообщения проходят через серверы Telegram (за пределами России, раздел 3); отозвать можно, сняв согласие на данные о здоровье или отвязав бота. Данные цикла можно удалить в разделе «Цикл», отметки и аллергии — снять в профиле. Согласие можно отозвать отдельно (Профиль → Мои данные → «Данные о здоровье»): цикл, отметки беременности и кормления и аллергии удаляются, аккаунт и остальные данные остаются. Пожалуйста, не пишите диагнозы и другие сведения о здоровье в свободном тексте (описания еды, заметки, чат с коучем) — этот текст обрабатывают поставщики ИИ (раздел 3). Голод, сытость и сон к данным о здоровье не относятся: это ваши отметки о режиме и еде, без диагнозов и оценки состояния.

Дневник и работа с ИИ

• Приёмы пищи (введённые фото, текстом, голосом, штрихкодом или через бота): описание, состав, граммы, рассчитанные нутриенты и оценка. Само фото еды хранится, только если включено «Сохранять фото приёмов» (по умолчанию включено) или один из режимов ниже.
• Фото приёмов — если вы не выключили «Сохранять фото приёмов» (по умолчанию включено): копия снимка не больше 1280 пикселей по длинной стороне, без служебных данных (геометки, модели телефона) — их удаляет наш сервер; хранится вместе с приёмом. Если выключить, уже сохранённые фото останутся, а новые сохраняться не будут; удалить сохранённые можно вместе с приёмом или с аккаунтом.
• Приём, записанный до конца распознавания («В дневник»): снимки и описание разбираются на сервере уже после записи. На время разбора копия снимков хранится во временной папке сервера — у всех, даже если «Сохранять фото приёмов» выключено, — и удаляется сразу после разбора, а если он не закончился — не позже чем через 30 минут; в резервные копии она не попадает.
• Оценка «Распознали верно?» (👍 или 👎 и причины из списка: «не те блюда», «не те порции», «лишнее», «не хватает») — хранится у приёма и удаляется вместе с ним. Написанный вами текст к оценке — только если включено «Помогать улучшать распознавание»: рядом с записью этого распознавания, с её сроком хранения.
• Подсказка к снимку и уточнение «Что распознано не так?» (до 500 знаков) — сохраняются у приёма вместе с его описанием, у всех, независимо от «Помогать улучшать распознавание», — чтобы было понятно, из чего получился состав этого приёма. Удаляются вместе с приёмом или аккаунтом и входят в выгрузку данных. ИИ-модели получают этот текст только при самом распознавании (раздел 3).
• Предпросмотр распознавания — служебная запись на нашем сервере на 30 минут: распознанные позиции и откуда взяты их цифры, без фото. Она нужна только для того, чтобы при записи приёма отметить происхождение цифр; удаляется при записи и вместе с аккаунтом, после срока не используется и стирается при очередной очистке на сервере; в выгрузку не входит.
• Вода и шаги по дням — введённые вручную или импортированные из «Здоровья» по вашему личному ключу доступа.
• Сон — если укажете: обычное время отбоя и подъёма в профиле и, если включите «Отмечать сон», отбой и подъём за каждую ночь. Качество сна мы не спрашиваем. По обычному времени подбираем, когда удобнее напоминать о приёмах и советах, и цели недели; отметки — для вашего дневника сна.
• Голод и сытость — если включите «Отмечать голод и сытость»: отметка голода перед едой и сытости после по шкале из четырёх ступеней. Как и сон, это обычные записи дневника, а не сведения о здоровье: помогают подобрать советы и цели недели. ИИ-модели их не получают. Отметку можно снять; удаляются вместе с приёмом или аккаунтом.
• Свои рецепты.
• История чата с коучем — последние 50 сообщений в каждом разговоре и не больше 500 сообщений всего. Разговор может относиться к выбранному приёму, дню или неделе отчёта; хранится ссылка на этот предмет разговора без отдельной копии дневника. Советы, утренние заметки и недельные отчёты ИИ.
• Число обращений к ИИ за день — для дневных лимитов.
• Темы советов, которые вам уже показаны, — чтобы не повторяться; без текстов советов и названий блюд.
• Сохранённые блюда и рецепты, состав и число порций, пожелания к подбору еды, планы питания и отметки «есть дома» и «куплено». Факт добавления еды в дневник хранится отдельно от плана; изменение плана не меняет записанную еду. Эти данные входят в выгрузку и удаляются вместе с аккаунтом.
• Ответы в недельном обзоре — ваш выбор, указанная причина, версия и время ответа. Они сохраняются до удаления аккаунта и входят в выгрузку; ответ сам по себе не меняет цель.
• Состояние подключения телефона — время проверки связи, получения данных, даты последних замеров и код ошибки без самого ключа. Эти метки удаляются с аккаунтом; при замене ключа состояние подключения сбрасывается.
• Цели и шаги дня — какие цели вы взяли или предложило приложение (тема, ступень, сколько дней в неделю, обычная это цель или короткий спринт, пауза темы), отметки по дням (вышло, не вышло, нет данных — по дневнику или вашей отметке), шаги «Сделаю» под советами и их выполнение по записям дневника, ответ «Не сейчас» на предложение сделать тему целью, причина, если вы её указали при «Снять» («Слишком сложно», «Не моё»), тихая проверка 8 недель после «получается» и ответ на «Вернуть в цели?»; настройка «Только добавлять» (включена или нет) — это ваш выбор, а не сведения о здоровье: с ней мы не предлагаем цели и советы «заменить», «реже», «полегче» и о времени еды.
• Рекомендация «Сводки дня» о ритме питания — что предложено на день (время, «столько-то из последних дней»), ваш ответ «Сделаю / Не то» с причиной и итог дня; в случайные дни рекомендация не показывается, а итог дня всё равно сохраняется — так мы проверяем, помогает ли она. Причину рекомендации может переформулировать ИИ: модель получает только эту строку (сколько дней из последних и время) — без имени, профиля, других записей дневника и названий блюд; переформулированный текст хранится вместе с рекомендацией.

Фото для улучшения распознавания

• Фото еды, которые вы распознаёте, — в том числе неудачные и сильно исправленные распознавания, — ответ модели и ваши правки — для улучшения распознавания, 90 дней, без геометки, не больше 30 распознаваний в день, если вы не выключили «Помогать улучшать распознавание» (Профиль → Мои данные). По умолчанию включено: новым — на форме регистрации, остальным мы сообщаем об этом один раз уведомлением и начинаем сохранять после него; выключить можно в любой момент — сохранённое удаляется сразу. Входит в экспорт данных. Не снимайте людей, документы и экраны с личными данными, особенно если делитесь страницей приёма. Режим работает до 31 декабря 2026 года включительно; после этого новые фото не сохраняются, а сохранённые удаляются по истечении срока.

Сроки и удаление «сразу» выше относятся к серверу приложения. Эти фото вместе с ответом модели и правками разработчик выгружает к себе для обучения и проверки моделей распознавания еды; выгруженные копии хранятся без ограничения срока, а при выключении режима или удалении аккаунта обезличиваются (раздел 3).

Сообщество и уведомления

• Команда, имя в команде, сообщения в чате команды (их видят участники команды), код друга и список друзей, участие в челленджах.
• Подписка на уведомления браузера для каждого устройства и журнал отправленных уведомлений. Если приём записан до конца распознавания, по его итогу приходит уведомление «приём распознан», «приём распознан — возможен ваш аллерген» или «не распознали» — без названий блюд; если этот приём в это время открыт у вас на экране, уведомления нет.

Ссылки на приёмы

Если вы поделились приёмом: ссылка, дата её создания и закрытия, число просмотров и переходов «Попробовать» — чтобы понимать, полезна ли страница; кто открывал, мы не записываем. Страница показывает оценку, доли тарелки, тип приёма и 1–2 строки «что хорошо» — без граммов и калорий и без слов о цели, режиме, беременности, кормлении и еде вне дома; фото — если выбрали. Названий блюд и имени на странице нет. Ссылка действует 7 дней. Сам код ссылки мы храним только в виде хэша и в зашифрованном виде — открытым текстом нигде. Страница — снимок приёма на момент публикации: правка приёма его не меняет, повторное «Поделиться» обновляет. Если по вашей ссылке кто-то зарегистрировался, у нового пользователя хранится, по какой ссылке он пришёл, — чтобы понимать, откуда приходят люди; храним до удаления аккаунта.

Как вы пользуетесь приложением — если не выключили

Какие разделы вы открываете, какие кнопки нажимаете (например, «почему», «уточнить», выбор способа записи), какие ошибки и отказы видели, сколько времени заняла запись. Это статистика использования, связанная с вашим аккаунтом: каждое событие хранится с его внутренним идентификатором. Содержание записей в неё не попадает — ни названия блюд, ни числа питания, ни фото, ни текст. Разделы о здоровье (цикл, беременность и кормление) отмечаются как «профиль», а их изменение — одной отметкой «данные о здоровье», без значений. IP-адрес и браузер в статистику не записываются (запросы, как любые, попадают в журнал веб-сервера — см. «Технические данные»).

Технические данные

• Время последнего визита.
• Когда вы даёте согласие (например, при регистрации, входе через Telegram или принятии новой версии политики), мы сохраняем время, версию политики, текст, который вы видели, положения выключателей, IP-адрес и строку браузера (user-agent) — чтобы подтвердить согласие. Хранится, пока существует аккаунт; входит в выгрузку данных.
• Журнал безопасности и журнал веб-сервера: время, IP-адрес, браузер (user-agent), адрес запроса — подробно в разделе 4.
• При проверке «Я не робот» (только после нескольких неудачных попыток входа) Яндекс получает ваш IP-адрес и сведения о браузере, нужные для проверки.

Рекламы, счётчиков посещаемости и сторонних сервисов аналитики в приложении нет. Данные не продаются и для рекламы не используются. Статистика использования (выше) собирается нашим сервером в нашей базе, без сторонних скриптов.

2. Цели обработки

• Ведение дневника: распознавание еды, расчёт оценки еды (FHS), дневных норм, тарелки и подсказок — с учётом места приёма (дома или вне дома), если вы его отмечаете.
• Дневник с фото — хранение фото приёмов вместе с приёмом, пока вы не выключите их сохранение.
• Персонализация норм и советов (пол, возраст, рост, вес, активность, цель, а если вы их указали — цикл, беременность, кормление грудью, аллергии, время сна).
• Работа ИИ: разбор фото и текста, ответы коуча, утренние заметки и недельные отчёты.
• Публикация приёма по вашему выбору — страница по ссылке, которую вы создали и можете закрыть.
• Фото профиля — чтобы вас узнавали в командах и у друзей.
• Вход в аккаунт, защита от подбора пароля и восстановление доступа, в том числе проверка «Я не робот» после нескольких неудачных попыток входа.
• Письма сервиса: подтверждение почты, восстановление пароля, уведомления о безопасности (включение и отключение входа по коду, вход с нового запомненного браузера, вход кодом восстановления, смена адреса почты, привязка Telegram к аккаунту и запрос на привязку, выход на других устройствах). Уведомления о безопасности приходят только на подтверждённый адрес. Рекламных рассылок нет.
• Уведомления, которые вы включили: уведомления браузера и сообщения бота в Telegram.
• Обучение и проверка моделей распознавания еды — только по фото из режимов, описанных в разделе 1, с ответом модели и вашими правками.
• Защита сервиса от злоупотреблений и разбор инцидентов безопасности.
• Улучшение приложения — по статистике использования, связанной с вашим аккаунтом (раздел 1). Оператор и разработчик смотрят только обезличенные сводки — по статистике использования и по записям дневника — по группам не меньше 5 человек. Действия одного человека (только названия событий и время, без разделов о здоровье) может посмотреть сотрудник поддержки, указав причину; каждый просмотр записывается. Выключается в «Профиль → Мои данные»; при выключении события больше не записываются, а записанные удаляются.

3. Где хранятся данные и кому передаются

• Хранение. Сервер приложения и база данных размещены в Yandex Cloud (Россия). Ежедневные резервные копии — в Yandex Object Storage (Россия).
• На вашем устройстве. Без интернета записи временно хранятся в браузере на вашем устройстве, в очереди до отправки. В очереди хранятся записи о еде (текст, до 4 снимков, тип, время и место приёма — дом, работа или другое), записи о воде (объём и время), замеры (дата, вес, талия), изменения и удаления приёмов (номер приёма, тип и время), отметки сна (дата, отбой, подъём), голод до еды и сытость после — если вы их отмечаете, а также настройки, нужные для записи без интернета: учёт воды, объёмы стакана и бутылки, отмечать ли сон и голод, определять ли место приёма, обычное время отбоя и подъёма и отмечен ли сон сегодня, часовой пояс, а также внутренний номер вашего аккаунта — чтобы записи не ушли в чужой аккаунт на общем устройстве. Когда интернет появляется, запись уходит на сервер — в Chrome, Edge и на Android даже при закрытом приложении. С устройства запись удаляется после отправки, при выходе из аккаунта на этом устройстве (кнопки «Выйти» и «Выйти везде» в профиле), когда вы открываете её, чтобы уточнить, и при входе в другой аккаунт на этом устройстве; записи старше 7 дней удаляются при следующем открытии приложения. Удалить всё сразу можно и вручную — очисткой данных сайта в настройках браузера. Для просмотра без интернета в браузере на устройстве хранится копия дневника за последние 7 дней: приёмы (время, тип, блюда с граммами, оценка и тарелка; в «Строгом учёте» — калории и БЖУ), вода, последние вес и талия — без фото, текста записей и данных, на которые нужно отдельное согласие: цикл, беременность и кормление, аллергии. Копия обновляется, когда приложение открыто с интернетом; дни старше 7 стираются. Отдельно мы её не шифруем — защита здесь — блокировка экрана и шифрование устройства (на iOS и Android оно включено по умолчанию). Копия удаляется при выходе из аккаунта и при удалении аккаунта на этом устройстве, при входе другого человека; после «Выйти везде», смены пароля, удаления аккаунта на другом устройстве или истечения сессии — когда это устройство снова выйдет в интернет. Если устройство потеряно и не выходит в интернет, копию увидит тот, кто его разблокирует, — поэтому мы советуем код блокировки.
• Текст и коуч — Yandex AI Studio (модели YandexGPT, Yandex Cloud, Россия): описания еды, которые вы вводите текстом или голосом, ваши вопросы коучу, а для советов и отчётов — сводка дневника (цель, приёмы пищи, итоги дня против норм) и названия ваших целей недели.
• Фото еды — DeepInfra, Inc. (США), модель Qwen3-VL: снимки еды из приложения и из бота Telegram, ваша подсказка к снимку, тип приёма пищи, местное время, названия блюд, которые вы едите чаще всего, и диаметр вашей тарелки, если вы его указали. Место приёма поставщику не передаётся; если приём вне дома, диаметр вашей тарелки не подаётся. Это трансграничная передача персональных данных.
• Поставщикам ИИ не передаются ваше имя, адрес почты и идентификатор аккаунта. Одинаковые запросы кэшируются на нашем сервере, чтобы не отправлять их повторно.
• Страница приёма по ссылке. Её видит любой, у кого есть ссылка; поисковики её не показывают, сторонних скриптов и cookie на ней нет. Мессенджеры (Telegram, WhatsApp, VK) при отправке ссылки загружают картинку предпросмотра — оценку и фото, если вы выбрали фото, — и могут хранить её у себя по своим правилам; удалить её оттуда мы не можем: превью с фото остаётся в чатах, куда ссылку уже отправили, — «Убрать фото» его не отзывает. Не публикуются: имя, почта, вес, цель, режим, аллергии, беременность и кормление, цикл, время, дата и место приёма, названия блюд, граммы и калории, заметки и другие приёмы.
• Фото профиля видят те, кому вы дали код дружбы, и участники ваших команд, пока вы в команде, — вместо буквы имени. На страницах «Поделиться», в Telegram-боте и в уведомлениях его нет; операторам админки оно не показывается.
• Голосовой ввод работает через распознавание речи вашего браузера (Web Speech API): звук обрабатывает сам браузер — у Chrome на серверах Google, — а в приложение приходит только готовый текст. Аудио приложение не получает и не хранит.
• Почта отправляется через Yandex Cloud Postbox (Россия); ему передаются адрес получателя и текст письма.
• Проверка «Я не робот» — Yandex SmartCaptcha (Yandex Cloud, Россия). Показывается только после нескольких неудачных попыток входа, на отдельной странице, где нет полей почты и пароля; скрипт Яндекса загружается только на ней. Яндекс получает ваш IP-адрес, сведения о браузере и действия в окне проверки. Почта и пароль Яндексу не передаются.
• Telegram. Вход через Telegram проверяется подписью Telegram; Telegram получает только то, что вы сами разрешили в окне входа. Если вы привязали бота, сообщения и фото, которые вы ему отправляете, и его ответы (в том числе предупреждения о ваших аллергенах) проходят через серверы Telegram (за пределами России).
• Уведомления доставляет служба уведомлений вашего браузера (Google для Chrome и Android, Mozilla для Firefox, Apple для Safari); текст уведомления передаётся ей в зашифрованном виде.
• Штрихкоды ищутся в открытой базе Open Food Facts: ей передаётся только номер штрихкода, без данных аккаунта.
• Разработчик приложения имеет доступ к данным на сервере для поддержки и защиты сервиса; в служебной панели он видит список аккаунтов, даты согласий и последнего визита.
• Фото для улучшения распознавания у разработчика. Фото из режимов раздела 1 вместе с ответом модели и правками разработчик выгружает на свой компьютер для обучения и проверки моделей распознавания еды и может повторно отправлять их поставщику модели зрения. В выгруженных копиях нет адреса почты и имени из профиля; записи разложены по внутреннему идентификатору аккаунта (случайная строка). Выгруженные копии хранятся без ограничения срока. При выключении режима или удалении аккаунта фото удаляются с сервера приложения, а выгруженные копии обезличиваются: из них удаляются связь с аккаунтом, метаданные снимков (EXIF), имена файлов и ваш текст к снимку.

4. Хранение и сроки

Данные хранятся, пока существует ваш аккаунт. При удалении аккаунта или отзыве согласия (Профиль → Аккаунт и безопасность → Удаление и отзыв согласий, см. инструкцию) персональные данные и файлы стираются с сервера сразу. Ежедневные резервные копии удаляются через 30 дней после создания; кроме того, разработчик может делать зашифрованные резервные копии вручную, например перед обновлением, — они хранятся у него без ограничения срока.

• Фото для улучшения распознавания, в том числе неудачные снимки, — на сервере приложения не дольше 90 дней; при выключении «Помогать улучшать распознавание» — сразу. Копии, выгруженные разработчиком для обучения и проверки моделей распознавания, — без ограничения срока; после выключения режима или удаления аккаунта — только обезличенными (раздел 3).
• Фото приёмов — пока существует приём; удаляются вместе с приёмом, аккаунтом и при отзыве согласия на обработку данных. На сервере они попадают и в резервные копии: ежедневные — ещё до 30 дней, ручные у разработчика — без ограничения срока.
• Фото профиля — пока вы его не удалите; при замене прежнее фото удаляется. Удаляется и вместе с аккаунтом, и при отзыве согласия на обработку данных. На сервере оно попадает и в резервные копии: ежедневные — ещё до 30 дней, ручные у разработчика — без ограничения срока.
• Ссылка на приём действует 7 дней; после этого страница закрывается, копия фото к ней удаляется. Закрыть её можно и раньше; при удалении приёма, аккаунта или отзыве согласия на данные о здоровье она закрывается сама. Остаётся отметка о закрытой ссылке (даты, число просмотров и переходов и код ссылки в виде хэша — по нему ссылку больше не открыть) — до удаления аккаунта.
• Жалобы на страницу приёма (без данных того, кто пожаловался) — пока ссылка открыта и ещё 30 дней после её закрытия.
• История чата с коучем — последние 50 сообщений в каждом разговоре и не больше 500 сообщений всего. Более старые вопросы удаляются вместе с ответами. Можно очистить один разговор или всю историю; история также удаляется вместе с аккаунтом.
• Предпросмотр распознавания — действует 30 минут; после этого не используется и удаляется при очередной очистке на сервере.
• Журнал показанных тем советов — 30 дней.
• Рекомендации «Сводки дня» — 30 дней.
• Цели, шаги дня и настройка «Только добавлять» — пока существует аккаунт; входят в выгрузку данных и удаляются вместе с аккаунтом.
• Отметки сна — до удаления аккаунта; отметку можно удалить.
• Место приёма — пока существует приём; удаляется вместе с приёмом и аккаунтом; при выключении «Определять место приёма» мы спросим, удалить ли метки у прошлых приёмов, — ответите «Удалить», и они стираются, иначе остаются (их можно поменять вручную). Точки «дом» и «работа» хранятся только на вашем телефоне и стираются при выключении настройки, выходе из аккаунта и удалении аккаунта.
• Отметки об удалённых приёмах (внутренний номер приёма, без содержимого) — 8 дней, чтобы запись без интернета не вернула удалённый приём.
• Статистика использования — 365 дней; в ежедневных резервных копиях — ещё до 30 дней, в ручных копиях у разработчика — без ограничения срока. Обезличенные сводки хранятся без ограничения срока.
• Журналы операторской панели — вызовы внутреннего API и записи о том, кто из операторов, когда и зачем открывал данные пользователя, — хранятся 1 год, затем удаляются.
• Сведения о данных согласиях (время, версия политики, текст, выключатели, IP-адрес, строка браузера) — пока существует аккаунт; удаляются вместе с ним.
• Отметки об отзыве согласий (внутренний идентификатор аккаунта, вид и дата) — только чтобы обезличить копии фото у разработчика; других данных в них нет; хранятся, пока у разработчика есть необезличенные копии, затем удаляются.
• Ссылка и код подтверждения почты действуют 72 часа, ссылка восстановления пароля — 1 час.
• Запомненный браузер помнится 30 дней или до смены пароля, отключения входа по коду, нажатия «Забыть», «Выйти везде» или «Выйти на других устройствах». Секрет приложения-аутентификатора и коды восстановления удаляются сразу при отключении входа по коду и при удалении аккаунта.

Журнал безопасности. При входе, регистрации и запросах, которые читают или меняют ваши данные, на сервере приложения записывается строка: время, IP-адрес, строка браузера (user-agent), адрес и метод запроса, код ответа, внутренний идентификатор аккаунта (случайная строка, не почта и не имя) и тип действия. Журнал хранится файлом на сервере и попадает в резервные копии; автоматически он не очищается. После удаления аккаунта записи журнала остаются, но идентификатор в них больше ни с какими данными не связан. Отдельно веб-сервер ведёт журнал запросов (время, IP-адрес, адрес страницы, браузер), который перезаписывается по мере заполнения — примерно по 30 МБ.

5. Ваши права

• Получить копию своих данных: Профиль → Мои данные → «Скачать мои данные (JSON)» — все данные аккаунта, в том числе время сна и отметки сна, места приёмов и согласие на их определение, отметки голода и сытости — отдельным разделом по приёмам, список ссылок на приёмы, фото профиля (ссылкой), статистика использования и дата, когда вам показали уведомление о ней; фото приёмов — ссылками; таблицы для Excel (CSV) — приёмы пищи, замеры, вода и шаги. В копии есть отметка о входе по коду, число оставшихся кодов восстановления и список запомненных браузеров; секреты, коды и хэши в неё не попадают.
• Исправить данные: профиль, приёмы пищи, данные цикла — в приложении; замеры — в «Замеры → История» («Изменить»).
• Удалить часть данных: приёмы пищи, замеры (в «Замеры → История», вместе с фото прогресса этой записи), фото прогресса, данные цикла, фото профиля («Профиль», нажать на фото → «Удалить фото»), метки мест приёмов (при выключении «Определять место приёма» ответить «Удалить»; по одной — на экране приёма); фото для улучшения распознавания — выключив соответствующий переключатель (с сервера приложения; копии, уже выгруженные разработчиком, обезличиваются — раздел 3).
• Закрыть ссылку на приём — на экране приёма («Закрыть ссылку»); список своих ссылок — в «Профиль → Мои данные» и в выгрузке.
• Отозвать согласие на обработку данных о здоровье — отдельно, без удаления аккаунта (Профиль → Мои данные → «Данные о здоровье»): данные цикла, беременности и кормления и аллергии удаляются.
• Удалить аккаунт и все связанные данные — самостоятельно, из приложения.
• Выключить статистику использования: «Профиль → Мои данные» → «Помогать улучшать приложение». Записанные события удаляются сразу.
• Отозвать согласие на обработку данных: Профиль → Аккаунт и безопасность → Удаление и отзыв согласий → «Отозвать согласие на обработку данных». Отзыв согласия означает прекращение обработки, поэтому он удаляет аккаунт и все данные; копию можно скачать заранее. Согласия на сохранение фото распознаваний отзываются отдельно, переключателями, без удаления аккаунта.
• Завершить сессии на всех устройствах («Выйти везде» в профиле, «Выйти на других устройствах» в Аккаунте) и забыть запомненные браузеры.
• Если нет доступа ни к приложению-аутентификатору, ни к кодам восстановления, вход по коду можно отключить самостоятельно через письмо на почту аккаунта; для защиты он отключается через 3 дня, и за это время любой вход с кодом отменяет запрос.

6. Обращения

Адрес для обращений пока не указан. Всё перечисленное в разделе 5 доступно в приложении без обращения.

7. Дисклеймер

Приложение не является медицинским сервисом и не заменяет консультацию врача-диетолога, эндокринолога, гастроэнтеролога. При наличии хронических заболеваний, беременности, расстройств пищевого поведения обязательно обратитесь к специалисту.