Политика в отношении обработки персональных данных

1. Общие положения и оператор

Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей интернет-платформы healing.moscow (далее — «Платформа», «Сайт») в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»).

Оператор персональных данных — владелец и администратор Платформы; полное наименование, ИНН, ОГРН и контактные данные указаны в разделе «Контакты и реквизиты» и в публичной оферте. Контакт для обращений по вопросам обработки персональных данных: адрес электронной почты и почтовый адрес из раздела «Контакты и реквизиты» (запросы по правам субъектов — с пометкой «Персональные данные»).

Политика доступна любому пользователю с любой страницы Сайта по ссылке в подвале сайта и действует в отношении всех данных, которые Оператор получает в процессе использования Платформы.

2. Категории субъектов и цели обработки

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пациенты (зарегистрированные пользователи, в т. ч. представители членов семьи);
• Медицинские специалисты и клиники (исполнители услуг);
• Организаторы школ, преподаватели и студенты образовательных курсов;
• Посетители Сайта (незарегистрированные).

Цели обработки персональных данных:

• регистрация и авторизация в Платформе, идентификация пользователя;
• предоставление доступа к сервисам: запись к специалистам/клиникам, социальная сеть, AI-ассистент, кошелёк, школа, купоны, реферальная программа;
• исполнение договоров возмездного оказания услуг (публичная оферта) и расчётов;
• отправка SMS-кодов подтверждения, уведомлений о записи, ответах и событиях Платформы;
• обработка обращений, отзывов и обращений в службу поддержки;
• улучшение качества сервиса и анонимная продуктовая аналитика (раздел 8);
• обеспечение информационной безопасности и предотвращение мошенничества;
• исполнение требований законодательства РФ.

3. Перечень обрабатываемых персональных данных

В зависимости от используемых сервисов Оператор обрабатывает:

• номер мобильного телефона, адрес электронной почты, фамилия и имя;
• дата рождения, пол, информация об интересах, фотография профиля (аватар), описание профиля — по желанию пользователя;
• данные членов семьи, добавленных пользователем: имя, фамилия, дата рождения, номер полиса ОМС/ДМС;
• содержание записей к специалистам: цель визита (комментарий), статус, стоимость;
• сведения профиля здоровья, вводимые пользователем добровольно вручную (профиль здоровья, показатели/метрики, напоминания); Платформа не предусматривает загрузку файлов медицинских документов (анализов, выписок, рецептов);
• тексты и вложения сообщений в чатах, публикаций, комментариев, отзывов;
• данные о балансах внутреннего кошелька и операциях с ним (без данных банковских карт);
• технические данные: страна посетителя (определяется по IP без хранения самого IP), тип устройства, браузер, операционная система, страница и продолжительность просмотра, источник перехода/UTM-метки;
• идентификатор анонимной статистики в localStorage браузера (см. раздел 8);
• история изменения номера телефона учётной записи: прежний и новый номер, дата изменения (для безопасности аккаунта и защиты от мошенничества);
• токен push-подписки устройства (создаваемый браузером или мобильным приложением): адрес доставки и открытые ключи шифрования — для доставки уведомлений; содержимое уведомления при передаче шифруется и службе доставки недоступно; токен удаляется при отключении уведомлений и при недействительности; при ротации ключей браузером подписка автоматически перевыпускается и повторно регистрируется;
• идентификатор устройства мобильного приложения — случайная строка (32 байта), создаваемая самим приложением при установке и хранимая в защищённом хранилище приложения; используется как bearer-секрет для постоянного защищённого соединения приложения с сервером (HTTPS/SSE) и для доставки уведомлений без использования служб Google (FCM); идентификатор привязывается к учётной записи, в которую выполнен вход, удаляется при выходе из аккаунта и при отключении уведомлений; у одного аккаунта может быть несколько устройств;
• технические записи о сессиях (идентификаторы refresh-токенов): сохраняются на сервере для защиты от повторного использования токена и хранятся до истечения срока действия соответствующего токена;

Биометрические и специальные категории персональных данных, касающиеся здоровья, обрабатываются только в объёме, добровольно предоставленном самим пользователем для функционирования соответствующих сервисов, и с его согласия. Оператор не собирает данные банковских карт: платёжные реквизиты обрабатываются платёжным провайдером (раздел 6).

4. Правовые основания обработки

• согласие субъекта персональных данных, выраженное свободно, своей волей и в своём интересе (чекбокс при регистрации, согласие при оформлении записи/добавлении члена семьи — п. 10);
• заключение и исполнение договора, стороной которого является субъект (публичная оферта);
• требования законодательства РФ, в том числе о связи, информации, рекламе и налогах;
• законные интересы Оператора (обеспечение безопасности, защита от мошенничества, аналитика работы сервиса).

5. Сроки хранения данных

• данные учётной записи — в течение срока существования аккаунта;
• данные, необходимые для исполнения оферты и расчётов (операции кошелька, записи), — в течение срока, установленного законодательством РФ для бухгалтерских и первичных документов (не менее 5 лет);
• SMS-коды подтверждения — до 24 часов до истечения срока действия;
• данные анонимной статистики — не более 30 дней в сыром виде, далее только агрегированные показатели;
• сообщения чатов — в пределах «окна» тарифа комнаты (бесплатно — последние 50 постов); сообщения за пределами окна удаляются автоматически и безвозвратно;
• личные диалоги (1:1), неактивные 6 месяцев, удаляются автоматически — участники предупреждаются заблаговременно (не позднее чем за 30 дней); участник может включить «Оставить», и диалог не удаляется;
• комнаты чата без единого сообщения удаляются через 3 дня после создания (с предупреждением за сутки);
• короткие адреса (ники) при неоплате аренды освобождаются через 14 дней после истечения срока;
• фиксация ознакомления с обновлениями платформы (факт согласия, реакция 👍/👎 и необязательный комментарий) — с учётной записью Пользователя;
• при удалении аккаунта персональные данные удаляются (см. раздел 7), за исключением данных, срок хранения которых установлен законом.

6. Передача данных третьим лицам (поручение обработки)

Оператор не продаёт и не передаёт персональные данные третьим лицам, за исключением следующих случаев (объём передаваемых данных минимизирован):

• SMS-провайдер (SMSAero и аналогичные) — номер телефона и текст SMS-кода/уведомления;
• Платёжный провайдер ЮKassa (ООО «Ю Money») — идентификаторы платежа и сумма; данные банковских карт вводятся на стороне провайдера и Оператору не передаются;
• Провайдеры AI-моделей — обезличенный текст запросов AI-ассистента без прямых идентификаторов личности (передача осуществляется для обработки запроса в соответствии с поручением обработки);
• Служба доставки push-уведомлений (push-сервис браузера/операционной системы, в том числе сервис Google для Chrome и Android) — обезличенный токен устройства и зашифрованный пакет уведомления; содержимое переписки и уведомлений службе доставки недоступно, уведомление расшифровывается только на устройстве Пользователя. Этот канал применяется к уведомлениям браузера и как резервный; уведомления мобильного приложения доставляются напрямую от сервера Оператора на устройство по постоянному защищённому соединению (HTTPS/SSE) и через сторонние службы доставки не проходят;
• по требованию уполномоченных государственных органов — в порядке, установленном законодательством РФ;
• иным пользователям Платформы — только те данные, которые пользователь сам публикует в публичных разделах (профиль, отзывы, публикации).

Обработка на стороне третьих лиц осуществляется на основании договоров поручения обработки с обязательством соблюдать конфиденциальность и требования 152-ФЗ.

7. Права субъекта персональных данных

Вы имеете право:

• получать информацию об обработке своих данных и доступ к ним — раздел «Настройки аккаунта» и функция «Скачать мои данные» (GET /api/auth/export-data);
• требовать уточнения, блокирования или уничтожения неточных или незаконно обрабатываемых данных;
• удалить аккаунт и данные самостоятельно: «Настройки аккаунта» → «Удалить аккаунт»;
• отозвать согласие на обработку, направив обращение через раздел «Контакты» (отзыв влечёт удаление аккаунта, если данные необходимы для работы сервиса);
• обжаловать действия Оператора в Роскомнадзоре (www.rkn.gov.ru) или в суде.

Срок рассмотрения обращения — не более 30 дней с момента получения.

8. Cookie-файлы, localStorage и аналитика

На Сайте используются только собственные (first-party) средства аналитики — сторонние системы веб-аналитики (Яндекс.Метрика, Google Analytics и т. п.) не подключены. Для статистики в localStorage браузера может создаваться случайный анонимный идентификатор сессии; сам IP-адрес не хранится (определяется только страна), cookie-файлы для отслеживания не применяются.

При первом посещении Сайта пользователю показывается уведомление с равнозначным выбором «Принять все» / «Отказаться». При отказе статистика отключается, идентификатор не создаётся. Обязательные (функциональные) данные — сессия авторизации в localStorage, а также в защищённом хранилище service worker (IndexedDB) для восстановления push-подписки устройства — необходимы для работы Сайта и от выбора не зависят.

9. Локализация и трансграничная передача

Базы данных Платформы, в которых осуществляется запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ, размещены на территории Российской Федерации (требование ч. 5 ст. 18 152-ФЗ соблюдается).

Обработка запросов AI-ассистента выполняется с использованием внешних провайдеров больших языковых моделей, вычислительные мощности которых размещаются за пределами РФ (трансграничная передача — ст. 12 152-ФЗ). При этом:

• в такие сервисы передаётся только текст запроса Пользователя и ответ модели; прямые идентификаторы Пользователя (имя, телефон, e-mail, идентификатор учётной записи) к запросам не присоединяются;
• AI-ассистент работает исключительно с общедоступной информацией Платформы (описания услуг, статьи, навигация по Сайту); персональные данные и специальные категории персональных данных (в том числе сведения о здоровье) он не запрашивает и целенаправленно не обрабатывает;
• Пользователь самостоятельно решает, какой текст отправлять ассистенту, и предупреждается в интерфейсе чата о необходимости не сообщать персональные данные;
• актуальный перечень провайдеров предоставляется по запросу через раздел «Контакты».

Пользователю рекомендуется не сообщать AI-ассистенту персональные данные и специальные категории персональных данных (в том числе сведения о здоровье, позволяющие идентифицировать личность), если это не является необходимым для получения консультации.

10. Согласие и его оформление

Согласие на обработку персональных данных оформляется явным действием пользователя — проставлением отметки в чекбоксах (не предзаполненных):

• при регистрации — согласие на обработку ПД, подтверждение возраста 18+ и принятие оферты; факт согласия, дата и версия настоящей Политики фиксируются в учётной записи;
• при записи к специалисту — согласие на обработку данных, указанных в записи;
• при добавлении члена семьи — согласие (а для несовершеннолетних — подтверждение законного представительства, п. 11).

Согласие может быть отозвано в любой момент (раздел 7).

11. Персональные данные несовершеннолетних

Регистрация на Платформе доступна только пользователям в возрасте 18 лет и старше. Обработка персональных данных несовершеннолетних возможна исключительно через их законного представителя: взрослый пользователь добавляет ребёнка в «Семейный кабинет» и подтверждает, что является его законным представителем, принимая на себя согласие на обработку данных ребёнка.

12. Меры защиты

• передача данных между браузером и сервером — по HTTPS (TLS);
• пароли хранятся в виде криптографических хэшей (bcrypt);
• разграничение доступа к данным по модулям, шифрование каналов между модулями платформы;
• содержимое личных и групповых чатов шифруется на сервере при хранении симметричным ключом Оператора (XChaCha20-Poly1305); ключ хранится в защищённом окружении и периодически ротируется, что обеспечивает доступ к переписке на всех устройствах Пользователя;
• JWT-токены привязаны к окружению сервера и имеют ограниченный срок действия; refresh-токены одноразовые — факт использования идентификатора сессии фиксируется на сервере, повторное использование отклоняется, а при подозрении на кражу все сессии аккаунта отзываются;
• вложения в личных и групповых чатах и в диалоге с AI-ассистентом доступны только их автору и участникам соответствующего диалога — по авторизации или по временной подписанной ссылке; публичными остаются только изображения, предназначенные для общего показа (аватары, обложки, изображения публикаций, дипломы и лицензии специалистов и клиник);
• постоянное соединение мобильного приложения с сервером для доставки уведомлений защищено HTTPS (TLS) и аутентифицируется идентификатором устройства; в шторке устройства отображается постоянное уведомление о подключении; при выходе из аккаунта и при отключении уведомлений устройство отвязывается и соединение прекращается;
• загружаемые Пользователем изображения автоматически оптимизируются на сервере: уменьшается разрешение (длинная сторона не более 2560 пикселей) и файл пережимается в формат WebP — это сокращает объём хранимых и передаваемых данных; хранится только оптимизированная копия;
• регулярные обновления и аудит инфраструктуры.

13. Изменения Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Сайте, если не предусмотрено иное. Существенные изменения, затрагивающие обработку ранее собранных данных, сопровождаются получением нового согласия.