Политика конфиденциальности

1. Общие положения

Настоящая Политика описывает порядок обработки персональных данных пользователей сервиса КусьКонтроль (далее — «Сервис»), доступного как Telegram-бот @EatDiary_roBot, чат-бот сообщества VK, мини-приложение в Telegram и VK и мобильное приложение КусьКонтроль для Android.

Оператор персональных данных — самозанятая Панфилова Светлана Владимировна, ИНН 434549380398, адрес для корреспонденции: г. Киров. Контакт для вопросов и запросов субъектов ПД: seo@kuscontrol.pro.

Субъекты персональных данных — физические лица, пользователи Сервиса (ботов и мини-приложений в Telegram и VK, мобильного приложения), а также посетители публичных страниц сайта в пределах фактической обработки.

Правовые основания обработки (ч. 1 ст. 6 152-ФЗ):

• п. 1 — согласие субъекта ПД (профиль, контент пищевого дневника); необязательная аналитика обрабатывается по самостоятельному согласию;
• п. 5 — исполнение договора-оферты, стороной которого является субъект (оказание услуги);
• п. 2 — исполнение обязанностей налогового учёта, формирования чеков и хранения необходимых налоговых документов по НК РФ и 422-ФЗ.
• п. 7 — защита законных интересов оператора при предотвращении атак и злоупотреблений, с соблюдением прав субъектов ПД.

2. Какие данные мы собираем

• Идентификаторы платформы: Telegram user_id и/или VK user_id, имя и username (то, что Telegram/VK передают при первом обращении).
• Email: адрес для входа в мобильное приложение по одноразовому коду, восстановления доступа и отправки кассового чека. Вход также доступен через VK.
• Контент пищевого дневника: фотографии блюд, текстовые и голосовые описания приёмов пищи, ваши исправления оценок. Исходное фото используется для анализа; после сохранения записи мобильное приложение хранит вместе с ней только уменьшенную JPEG-миниатюру. Голосовая запись переводится в текст. Пока мобильное задание ожидает обработки или выполняется, исходные данные временно находятся в очереди на нашем сервере. После успешной обработки аудиоданные задания очищаются; после ошибки они могут сохраняться для повторной попытки и удаляются периодической очисткой заданий старше 7 суток с момента последнего обновления.
• Профиль (опционально): пол, возраст, рост, вес, уровень активности, цель — для расчёта индивидуальной нормы калорий. Вы указываете их добровольно в мини-приложении или в мобильном приложении.
• Email и/или телефон для чека: только если вы оплачиваете подписку — нужны для отправки кассового чека по 422-ФЗ.
• Технические данные: часовой пояс, локальная дата, лимит калорий, статистика использования (для функций «Сегодня», «Дашборд», лимитов бесплатного тарифа).
• Необязательная аналитика мобильного приложения: только после отдельного согласия на экране входа или в Профиле Android-приложения. Для неё создаётся случайный непрозрачный псевдоним аккаунта. Передаются только короткие события из фиксированного списка: вход, посещение экранов, начало/сохранение/исправление и отмена записи, ожидание и результат анализа, повторные нажатия выбранных кнопок, показ Premium и этапы оплаты. Для действий могут передаваться длительность, способ ввода, фиксированный код ошибки и выбранная вами причина затруднения. Случайный идентификатор отдельной попытки помогает сопоставить её начало и результат; он не является идентификатором устройства. Дневник, текст, фотографии, профиль, вес, email, идентификаторы Telegram/VK, токены и ссылки оплаты в эту аналитику не передаются. Подтверждённые покупки, продления и возвраты отправляются только сервером из платёжного журнала с валютой, суммой, планом, платёжным провайдером и техническим идентификатором события.
• Добровольная диагностика входа до авторизации: если вы включили аналитику на экране входа, приложение может отправить на наш сервер короткие события попытки входа, её длительность и фиксированные причины ошибок. Эти данные хранятся отдельно от аккаунтов и платежей, не содержат email, кода входа, IP-адреса или идентификаторов Telegram/VK и не передаются в MyTracker. Вы можете отключить эту диагностику на экране входа, не завершая авторизацию.
• Источник установки в RuStore: после того же согласия приложение может прочитать официальный referrer и передать на наш сервер только заранее выданный непрозрачный код кампании видаcmp_… для first-touch атрибуции. Сырая строка referrer, UTM-метки и иные значения из неё не отправляются.
• IP-адрес при входе: адрес, с которого начат вход по email или через VK в мобильное приложение или связывание аккаунтов Telegram/VK, — чтобы ограничивать число попыток и защищать аккаунты от подбора кода.
• Сведения о сбоях мобильного приложения: версия приложения, платформа, экран и текст ошибки — чтобы находить и исправлять сбои. Содержимое дневника, email и другие данные аккаунта в такие отчёты не попадают.
• История платёжных согласий: историю согласий на автоматические списания, включая дату и время, источник согласия, версию и контрольный хеш текста согласия, версию и контрольный хеш оферты, сумму, валюту и период подписки, а также факт и время последующей отмены. Номер карты и CVC в этой истории не хранятся.

Мы не собираем: ваш номер телефона из Telegram (если он скрыт настройками приватности), геолокацию устройства, контакты, рекламный идентификатор устройства, переписку с другими ботами.

О характере профильных данных. Профильные данные (пол, возраст, рост, вес, цель) и записи о питании предоставляются вами добровольно как пользовательский ввод для расчёта нормы калорий. Сервис предназначен для бытового учёта питания и не запрашивает диагнозы, медицинские заключения или сведения из медицинских карт. Не загружайте медицинские документы и сведения, не необходимые для анализа еды. Если отдельная функция потребует обработки сведений о здоровье, до её использования должны быть определены основание и порядок обработки по статье 10 152-ФЗ. Обычное электронное согласие на использование дневника не заменяет письменного согласия, когда такая форма требуется законом.

3. Цели обработки

• Оказание услуги — анализ фото/текста, ведение пищевого дневника, расчёт калорийности и БЖУ, формирование отчётов.
• Оплата подписки и отправка кассовых чеков (только если оформляете Premium).
• Вход в мобильное приложение по одноразовому коду на email или через VK и связывание прежнего Telegram/VK-дневника с ним.
• Защита аккаунтов и сервиса: ограничение числа попыток входа, поиск и исправление сбоев.
• Связь с пользователем по вопросам сервиса и поддержки.
• Необязательная аналитика мобильного приложения по отдельному согласию — для оценки входа, использования функций, времени ожидания, затруднений и этапов оплаты.

4. Где хранятся данные

Основная база данных сервиса (аккаунт, профиль, история приёмов, контакты и платёжный учёт) размещена в Российской Федерации на инфраструктуре Cloud.ru в Московском регионе. Оператор организует сбор и хранение данных с учётом требований статьи 18 152-ФЗ. Размещение основной базы само по себе не описывает все последующие операции: использование внешних сервисов раскрыто в разделе 5.

Уменьшенные миниатюры фотографий из мобильного приложения хранятся вместе с записью до её удаления или удаления аккаунта. Их резервная копия хранится в зашифрованном виде; исходное полноразмерное фото как часть записи не сохраняется.

5. Передача третьим лицам

Мы не передаём ваши персональные данные третьим лицам, за исключением следующих случаев:

• Технологические партнёры — подрядчики, обеспечивающие работу сервиса: платёжные системы (при оплате подписки), хостинг и резервное копирование. Доступ ограничивается целями оказания услуг и технической эксплуатации. Для обработки по поручению применяются требования части 3 статьи 6 152-ФЗ. Порядок использования иностранных ИИ описан ниже отдельно.
• Аналитический сервис MyTracker: мобильное приложение отправляет разрешённые короткие события только на наш аутентифицированный сервер после отдельного согласия. Сервер проверяет список событий и параметров, связывает их со случайным непрозрачным псевдонимом аккаунта и при настроенной доставке передаёт их в MyTracker по S2S. Нативный SDK MyTracker в приложении не запускается, поэтому автоматического сбора запусков, покупок, идентификаторов устройства и рекламы, а также геолокации нет. Дневник, текст, фото, профиль, вес, email, идентификаторы Telegram/VK, токены и ссылки оплаты не передаются. Подтверждённые покупки, продления и возвраты сервер отправляет только по данным платёжного журнала. Отзыв согласия блокирует новые клиентские события и отменяет ожидающие серверные отправки; события, уже принятые MyTracker, могут сохраняться по правилам этого сервиса.
• Атрибуция RuStore: после согласия на сервер уходит только проверенный код кампании cmp_…; он связывается с первым источником аккаунта и не содержит текста, URL, UTM или контактных данных.

• Нейросетевые сервисы. Распознавание блюд, расчёт калорийности, расшифровку голоса и составление отчётов выполняют нейросетевые модели наших подрядчиков. Подрядчики и их серверы находятся за пределами Российской Федерации, в том числе в США; запрос может проходить через несколько сервисов по цепочке — сервис доступа к моделям и поставщика модели.

  В запросе передаётся только то, что нужно для ответа:

  • фотография блюда (повторно закодированная без EXIF-метаданных, включая геолокацию), ваша подпись или текстовое описание, а при голосовом вводе — аудиозапись;
  • при исправлении записи — состав исправляемой записи (названия, вес, калорийность и БЖУ позиций), текст вашей правки и исходная фотография;
  • список блюд, которые вы часто записываете (до 15 названий за последние 90 дней с их обычным весом и калорийностью), — чтобы модель точнее узнавала вашу еду;
  • для отчётов за день и за неделю — названия блюд за день, суммарные калории и БЖУ по дням, ваша дневная норма калорий, выбранная цель и целевые БЖУ, а в отчёте за неделю — средний вес тела за неделю и его изменение, если вы ведёте замеры;
  • для карточки «Поделиться» — фотография блюда.

  Из аккаунта не добавляются: ваш идентификатор в Telegram, VK и в сервисе, имя, email, телефон, пол, возраст, рост, IP-адрес. Сервис не обогащает материал этими сведениями из аккаунта. При этом в запросе может оставаться то, что вы сами написали, сказали или сфотографировали, — не указывайте в подписях и не снимайте то, чем не хотите делиться.

  Мы отключаем сохранение содержимого запросов в журналах подрядчика там, где такая настройка предусмотрена.

• Государственные органы РФ — в случаях, прямо предусмотренных законодательством (в том числе налоговая отчётность самозанятого через систему «Мой налог» по 422-ФЗ).

Нейросетевые сервисы расположены за пределами Российской Федерации, в том числе в США. Позиция оператора для описанного штатного анализа еды: трансграничная передача персональных данных не осуществляется; модель получает контент о еде без добавления идентификаторов и контактов аккаунта. Это не означает, что любой произвольный текст, снимок или аудиозапись автоматически обезличен. Не включайте в отправляемые материалы имена, контакты, документы или другие сведения, позволяющие определить человека. Удаление метаданных фотографии не удаляет текст и лица, видимые на самом изображении.

При поручении обработки персональных данных оператор должен определить состав данных, цели и действия, требования к конфиденциальности, безопасности и прекращению обработки в соответствии с частью 3 статьи 6 и статьёй 19 152-ФЗ. Сведения о фактически привлечённых к обработке лицах можно запросить у оператора.

6. Срок хранения

• Данные пищевого дневника, профиля и контактов — до отзыва согласия / удаления аккаунта.
• Документы и сведения, необходимые для исчисления и уплаты налогов, включая подтверждение оплаты и чеки, — не менее 5 лет с учётом правил налогового хранения (подп. 8 п. 1 ст. 23 НК РФ). Этот срок не распространяется автоматически на дневник и профиль.
• История согласий и отказов от автоматических списаний — до 4 лет с момента соответствующего события для подтверждения полномочий на списание и разрешения претензий. Если конкретные сведения необходимы для налогового учёта или рассматриваемого спора, они сохраняются на соответствующем самостоятельном основании.
• Резервные копии — до 30 дней с момента создания.
• Логи обращений к серверу — до 14 дней.
• Записи о входе через VK или email и связывании Telegram/VK, включая IP-адрес, — до 14 дней.
• Отчёты о сбоях приложения и журнал ошибок сервера — до 90 дней.
• Отдельные события добровольной диагностики входа до авторизации — до 30 дней; в MyTracker они не передаются.
• Сведения о согласии на необязательную аналитику, её непрозрачный псевдоним и статусы серверной доставки хранятся на нашем сервере, пока существует аккаунт. Идентификаторы событий используются лишь для идемпотентности очереди и не являются идентификаторами устройства. Отзыв согласия прекращает новые клиентские события и отменяет ожидающую серверную доставку; удаление аккаунта удаляет эти записи и непросланные данные. События, уже принятые MyTracker до отзыва, могут сохраняться по правилам этого сервиса: приложение не обещает их ретроактивное удаление.

7. Ваши права

Согласно гл. 3 152-ФЗ вы вправе:

• получить подтверждение факта обработки, правовые основания и цели, способы обработки, сроки, сведения о привлекаемых к обработке лицах (ст. 14);
• потребовать уточнения, блокирования или удаления неточных, неполных или неправомерно обрабатываемых данных (ст. 14);
• отозвать согласие и потребовать прекращения обработки и удаления (ст. 9);
• обжаловать действия Оператора в Роскомнадзоре или в судебном порядке (ст. 17).

Запросы направляйте на seo@kuscontrol.pro. Отозвать согласие также можно командой /delete_account в боте или кнопкой «Удалить аккаунт» в Профиле мобильного приложения. Порядок, сроки (для предоставления информации — 10 рабочих дней с даты получения надлежащего запроса с возможным мотивированным продлением не более чем на 5 рабочих дней) и способ подтверждения личности описаны на странице Реализация прав субъекта ПД.

8. Меры защиты

• Соединения пользователей с сервисом защищаются HTTPS/TLS.
• Применяются проверка прав доступа к записям, ограничения попыток входа и срока действия сессий.
• Административный доступ ограничен оператором и техническим администратором; используются Tailscale/SSH и файловые права доступа.
• Внешние резервные копии шифруются; доступ к локальным данным и копиям ограничен. Возможность восстановления проверялась.

9. Использование искусственного интеллекта

Расчёты калорийности, БЖУ и рекомендации формируются автоматически с использованием нейросетевых моделей. Результаты являются оценочными и могут отличаться от фактических значений в пределах ±20%. Сервис не является медицинским продуктом и не заменяет консультацию врача или диетолога — см. также раздел 7 Договора-оферты.

10. Cookies и веб-аналитика

На публичных страницах и в рекламных ссылках действует собственная атрибуция источника перехода, которая не использует cookie. Мы сохраняем нормализованные UTM-метки и параметры рекламной кампании, направление перехода (сайт, Telegram или VK), домен (hostname) страницы-источника, путь публичной страницы, место кнопки и время фактического запуска бота, а также хэш короткого анонимного токена; значения gclid и yclid не сохраняются. Связь с аккаунтом создаётся только после принятия обязательных согласий в соответствующем боте и удаляется при удалении аккаунта. Непривязанные просроченные переходы удаляются не позднее 30 дней. Яндекс Метрика подключается отдельно и только после самостоятельного согласия на веб-аналитику.

На публичных страницах сайта app.kuscontrol.pro после вашего явного согласия используется Яндекс Метрика (ООО «Яндекс»). Она нужна, чтобы в агрегированном виде понимать посещение публичных страниц и переходы к открытию бота. От согласия можно отказаться: это не ограничит доступ к сайту.

Для этой цели могут обрабатываться технические сведения браузера: cookie или иной идентификатор, IP-адрес, сведения об устройстве и браузере, источник перехода, просмотр публичной страницы и факт нажатия на кнопку открытия Telegram или VK. Мы не передаём в Метрику данные пищевого дневника, профиль, контакты, платежи, Telegram/VK user_id, UserID, CRM-идентификаторы или текст, введённый в формах.

Вебвизор, карты кликов, отслеживание ссылок и аналитика форм в Метрике отключены. Метрика не работает в Telegram/VK мини-приложениях, в личном кабинете, дневнике, оплате и других авторизованных разделах. Выбор сохраняется только в локальном хранилище браузера; чтобы изменить его, удалите данные сайта в браузере и откройте публичную страницу снова.

11. Изменения Политики

При значимых изменениях мы обновим версию документа и попросим вас подтвердить согласие при следующем взаимодействии с ботом, мини-приложением или мобильным приложением.