Политика обработки персональных данных
«Атлас здоровья» (vashezdorovje.ru) — информационный сервис для хранения и систематизации результатов анализов и обследований. Он не оказывает медицинских услуг, не ставит диагнозы и не назначает лечение. Сервис работает в режиме опытной эксплуатации. Документ описывает, какие данные собираются, зачем и как их можно удалить, в соответствии с Федеральным законом № 152-ФЗ «О персональных данных».
1. Оператор
Оператор персональных данных — администратор сайта vashezdorovje.ru (сведения об операторе будут указаны до завершения опытной эксплуатации). Связь по вопросам обработки данных: форма «Написать нам» на сайте.
2. Какие данные обрабатываются
- Данные аккаунта: адрес электронной почты, имя, хеш пароля (сам пароль не хранится).
- Данные профиля: пол, год рождения, рост, вес, объём талии, отмеченные факторы риска и привычки (курение, наследственность, беременность, тип питания и другие).
- Сведения о состоянии здоровья: результаты анализов, заключения обследований, фото и PDF медицинских документов, события и заметки (например, о приёме лекарств и добавок), результаты автоматических расчётов и разборов.
- Дневники давления (давление, пульс, самочувствие при измерении, короткая заметка) и сна. У гостя без аккаунта они хранятся только в его браузере и на сервер не передаются.
- Опросники самопроверки (риск диабета, алкоголь, настроение, тревога) считаются прямо в браузере. Ответы и результат никуда не отправляются и не сохраняются — ни на сервере, ни в браузере.
- Отзывы: текст, подпись, которую вы указали, и адрес почты вашего аккаунта.
- Сообщения из формы «Написать нам» — они не сохраняются на сервере сайта, а сразу пересылаются оператору (раздел 5а).
- Технические данные: время входа (хранится вместе с сеансом), IP-адрес, дата и время предоставления согласий (хранятся в аккаунте). IP-адрес при входе используется только для защиты от подбора пароля: он держится в памяти сервера 15 минут и не записывается.
Сведения о состоянии здоровья относятся к специальной категории персональных данных (ст. 10 152-ФЗ) и обрабатываются только с вашего согласия, которое вы даёте в электронной форме при регистрации (текст согласия). Сервисом могут пользоваться люди старше 18 лет.
3. Цели обработки
- хранение результатов анализов и обследований и показ их динамики;
- сопоставление с референсными значениями, расчёт производных показателей и биологического возраста;
- составление персональной программы чекапа и напоминаний о пересдаче;
- подготовка отчётов, которые вы сами решаете показать врачу;
- обратная связь с вами и модерация отзывов;
- обучение собственной модели распознавания документов на сервере сервиса в РФ — на копиях распознанных документов без имени, даты рождения и контактов (подробнее — в разделе 4а). Это ускоряет и уточняет загрузку анализов для всех пользователей; облако ИИ для обучения не используется.
4. Где хранятся данные и у кого есть доступ
Данные хранятся на сервере оператора, расположенном на территории Российской Федерации. Через сайт свои данные видит и меняет только владелец аккаунта после входа по паролю. Пароли хранятся в виде хеша scrypt. Оператор не продаёт данные и не использует их для рекламы. Третьим лицам данные передаются только так, как описано в разделах 5, 5а и 5в.
Кроме владельца аккаунта, к данным есть доступ в трёх случаях:
- Технический доступ оператора. Оператор обслуживает сервер и может открыть хранящиеся на нём файлы. Он делает это только для работы сервиса: обслуживания, резервного копирования и разбора сбоев.
- Модерация отзывов. Новый отзыв сначала видит оператор — вместе с адресом почты автора. После проверки на сайте публикуются только подпись и текст, почта не публикуется.
- Ссылка на PDF. Когда вы собираете отчёт или направление на телефоне, сервер выдаёт ссылку на готовый PDF. Она работает 15 минут и открывается без входа: файл увидит любой, у кого есть ссылка. Не пересылайте её, если не хотите показывать документ.
Данные могут попадать в резервные копии сервера и удаляются из них при плановой ротации копий.
4а. Служебные данные распознавания
Чтобы загрузка документов шла быстрее и реже требовала облака, сервер хранит несколько служебных наборов данных. Все они лежат на сервере в РФ.
Кэш распознавания. Для каждого распознанного файла сервер запоминает его отпечаток (хеш) и распознанные значения. Если вы загрузите тот же файл ещё раз, результат появится сразу. Кэш виден только вашему аккаунту и удаляется кнопкой «Удалить все данные» (в меню «⋯»; в профиле она называется «Удалить только анализы и документы») и вместе с аккаунтом.
Кэш заключений. Для распознанных заключений обследований сервер хранит вид и название обследования, текст заключения, найденные изменения и объяснение простыми словами. Повторная загрузка того же заключения не требует облака. Кэш привязан к вашему аккаунту и удаляется так же, как кэш распознавания.
Журнал диагностики распознавания. По каждой загрузке сервер записывает служебные сведения: тип файла, каким способом он распознан, сколько это заняло, сколько строк найдено и почему шаблон не подошёл. Текста бланка, названий и значений анализов и дат сдачи в журнале нет. Журнал хранится 90 дней и удаляется вместе с аккаунтом; кнопка «Удалить все данные» его не удаляет.
Корпус для обучения модели распознавания. Это копии распознанных документов без имени, даты рождения и контактов (их автоматически убирает сервер) вместе с распознанными значениями, датой и названием лаборатории. Оригиналы файлов в корпус не копируются. Копии связаны с аккаунтом служебным кодом, а не почтой или именем, и удаляются вместе с аккаунтом или при отзыве согласия. Кнопка «Удалить все данные» их не удаляет, чтобы повторная загрузка тех же документов шла быстрее. На корпусе обучается модель распознавания — это обобщённые правила, как читать бланки разных лабораторий: где какая колонка и как называются показатели. Самих документов модель не хранит, поэтому после удаления аккаунта её не переобучают.
5. Обработка в облаке ИИ (по отдельному согласию)
Распознавание фото и PDF бланков, объяснение заключений обследований и разбор результатов выполняет облачный сервис искусственного интеллекта компании Anthropic PBC (США).
Документ сначала читает наш сервер в РФ. Если он узнаёт знакомый бланк, документ разбирается на сервере и в облако не уходит. Иначе сервер готовит обезличенную копию: на фото и сканах закрашивает имя, дату рождения, номера документов, контакты, штрихкоды и QR-коды, а из PDF с текстом отправляет только текст, где эти сведения заменены словом «[скрыто]». Обезличивание автоматическое и может что-то пропустить. Если подготовить копию не удалось — сервер не смог прочитать файл или страницу либо не нашёл на ней личных данных, которые нужно скрыть, — в облако уходит исходный файл или страница в том виде, как вы их загрузили. Из многостраничного скана отправляются только первые 10 страниц.
Примерно каждый десятый документ, который сервер разобрал сам, выборочно отправляется в облако на проверку — так мы убеждаемся, что разбор на сервере не ошибается. Уходит та же обезличенная копия (или исходный файл, если обезличить не удалось), и только если вы дали согласие на облако.
Для объяснений и разборов в облако передаются значения анализов и обследований, пол, возраст, отмеченные факторы риска и заметки. Имя и адрес почты из аккаунта не передаются.
Это трансграничная передача персональных данных в страну, не входящую в перечень государств с адекватной защитой. Она выполняется только если вы дали отдельное согласие. Без него все остальные функции Атласа работают, а облачные функции отключены. Текст согласия. Согласие можно дать или отозвать в любой момент в профиле. Anthropic обрабатывает данные по своей политике конфиденциальности.
5а. Telegram: сообщения оператору и уведомления
Оператору. Оператор получает служебные сообщения через мессенджер Telegram. Telegram — зарубежный сервис, его серверы находятся за пределами Российской Федерации, поэтому это трансграничная передача персональных данных. Туда уходит:
- заявка на регистрацию — адрес почты заявителя и ссылки «одобрить» и «отклонить», а затем решение по ней («подтверждён» или «отклонён») с тем же адресом почты;
- сообщение из формы «Написать нам» — его текст целиком, раздел сайта, контакт, если вы его указали, и адрес почты аккаунта, если вы вошли на сайт;
- технические отчёты об ошибках — раздел сайта, тип и размер файлов, текст ошибки без ссылок и имён файлов, номер аккаунта без почты;
- служебные сообщения о работе распознавания — название лаборатории и заголовок бланка.
Результаты анализов и содержимое документов в эти сообщения не попадают — кроме того, что вы сами напишете в форме «Написать нам». Поэтому не пишите там сведения о своём здоровье. Сообщения из формы на сервере сайта не сохраняются, они остаются в переписке оператора в Telegram. Оператор отвечает на указанный вами контакт, и дальше переписка идёт в выбранном вами канале. Удалить переписку можно, написав оператору.
Вам — по вашему выбору. Бот @vashe_zdorovje_bot подключается только по вашему отдельному согласию, в профиле или на экране заявки. Telegram — зарубежный сервис, поэтому туда передаётся минимум. Это идентификатор чата (chat_id), который связывается с вашим аккаунтом, и текст уведомлений: о решении по заявке, смене пароля, удалении аккаунта, обработке документа и о сроках проверки по плану. Сведений о здоровье в сообщениях нет: ни названий анализов и обследований, ни результатов, ни диагнозов. Ссылки ведут на сайт, где подробности видны только после входа. На сайте вместе с аккаунтом хранятся настройки уведомлений и часовой пояс.
Бот отвечает на свои команды (/start, /stop, /pause, /settings, /inbox). На любой другой текст он присылает короткую справку, не чаще раза в сутки. Текст ваших сообщений и подписи к файлам бот не сохраняет. Присылать боту документы можно, только если отдельно включить их приём (раздел 5в).
Отключить уведомления можно в любой момент: командой /stop в боте, кнопкой «Отключить» в сообщении бота, в профиле или на странице «Уведомления», а также заблокировав бота — тогда связь с аккаунтом снимается автоматически. При удалении аккаунта chat_id удаляется вместе с ним.
5б. Анонимная статистика использования
Чтобы улучшать сайт, сервер считает, сколько раз за день выполнялись основные действия (посещение, регистрация, открытие программы чекапа, скачивание направления, загрузка анализов), и замеряет время сборки PDF и распознавания. Сохраняются только общие счётчики по дням — без адреса почты, IP-адреса, результатов анализов и других сведений о конкретном человеке. Чтобы отличить повторное посещение, браузер хранит у вас дату последнего визита.
5в. Приём документов через Telegram
Если вы отдельно включили приём документов на странице «Уведомления», боту @vashe_zdorovje_bot можно присылать фото и PDF анализов и обследований. Telegram — зарубежный сервис. Файл передаёте вы сами через свой аккаунт Telegram, и копия остаётся в вашем чате, пока вы её не удалите (бот предлагает удалить её в течение 48 часов). Оператор сразу копирует файл на сервер в Российской Федерации и не хранит его в Telegram. Принимаются только фото (JPEG, PNG) и PDF до 20 МБ. У фото удаляются служебные сведения (в том числе геометки).
Присланный файл сразу распознаётся: сначала на сервере в Российской Федерации, а в облако ИИ документ уходит только при вашем согласии на обработку в облаке ИИ и так, как описано в разделе 5. Если включено «Сохранять автоматически» (включено по умолчанию, выключается на странице «Уведомления») и всё распознано однозначно — дата сдачи найдена, нет значений, которые нужно сверить с бланком, файл не переслан из другого чата, пол и возраст на бланке не противоречат профилю, — результаты и сам файл сразу сохраняются в ваш кабинет. Бот сообщает только число сохранённых записей и даёт кнопку «Отменить»: в течение 48 часов она удаляет ровно то, что добавлено из этого файла. Во всех остальных случаях, а также если автосохранение выключено, файл попадает во «Входящие» на сайте и не добавляется к вашим данным, пока вы не проверите распознанное и не нажмёте «Сохранить». Непроверенные файлы удаляются через 7 дней, а также при удалении аккаунта и по кнопке «Удалить все данные». Во «Входящих» файлы хранятся в зашифрованном виде и не попадают в резервные копии сервера.
Имена файлов, подписи к ним и сведения о том, из какого чата файл переслан, не сохраняются — только отметка «переслан». Присылайте только свои документы. Выключить приём можно на странице «Уведомления» или командой /stop. Уже присланные файлы остаются во «Входящих» до проверки или до конца 7-дневного срока. Ограничения: не больше 10 файлов в час и 20 в сутки.
6. Срок обработки
Данные хранятся, пока существует аккаунт. При удалении аккаунта в профиле данные, загруженные файлы, кэш распознавания и заключений, журнал диагностики, отзывы и копии для обучения модели сразу удаляются с сервера. Неодобренные заявки на регистрацию удаляются через 30 дней. Непроверенные файлы из Telegram («Входящие») — через 7 дней. Журнал диагностики распознавания — через 90 дней.
Журнал работы сервера хранится до 12 месяцев. В него пишутся время, тип действия и короткий служебный номер аккаунта, а при сборке и открытии PDF — тип устройства и системы из данных браузера. Адрес почты и IP-адрес в журнал не пишутся.
Копии документов для обучения модели распознавания удаляются вместе с аккаунтом или при отзыве согласия; кнопка «Удалить все данные» их не удаляет.
7. Ваши права
- получить свои данные. «Копия для восстановления» в меню «⋯» — это файл JSON с данными кабинета: профиль, результаты анализов, обследования с заключениями и объяснениями, события и заметки, решения по показателям, дневники давления и сна, скрытые пункты программы. Таблица анализов для Excel скачивается там же. Оригиналы фото и PDF в копию не входят — их можно открыть по одному на сайте, а непроверенные файлы из Telegram — во «Входящих» на странице загрузки. Всё остальное, что хранится о вас (данные аккаунта и согласий, настройки уведомлений, отзывы, служебные данные распознавания, все оригиналы файлов разом), оператор выдаст по запросу;
- исправить или удалить отдельные результаты, обследования и заметки;
- отозвать согласие на обработку в облаке ИИ — в профиле;
- отозвать согласие на обработку данных и удалить аккаунт со всеми данными — в профиле;
- обратиться к оператору по контакту из раздела 1. Если это форма «Написать нам», обращение дойдёт оператору через Telegram (раздел 5а).
8. Важно
Информация в Атласе носит справочный характер и не заменяет консультацию врача. Референсные значения ориентировочные и зависят от лаборатории.
Документы: Пользовательское соглашение · Согласие на обработку данных о здоровье · Согласие на обработку в облаке ИИ