Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности (далее - Политика) определяет порядок сбора, обработки, хранения, передачи и защиты персональных данных пользователей мобильного приложения iDash и сайта idash.kz (далее вместе - Сервис).

Политика подготовлена в соответствии с Законом Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите», Кодексом Республики Казахстан от 7 июля 2020 года № 360-VI «О здоровье народа и системе здравоохранения» и иными нормативными правовыми актами Республики Казахстан.

Устанавливая приложение и создавая учётную запись, вы подтверждаете, что ознакомились с Политикой и даёте согласие на сбор и обработку своих персональных данных на изложенных здесь условиях. Если вы не согласны с Политикой, не используйте Сервис.

iDash - это личный дневник здоровья. Сервис не оказывает медицинскую помощь, не ставит диагнозы и не заменяет консультацию врача.

2. Кто обрабатывает данные

Собственником и оператором персональных данных в значении Закона № 94-V выступает владелец Сервиса iDash.

Адрес: Республика Казахстан, г. Алматы, ул. Зенкова, 94.
Электронная почта для обращений по вопросам персональных данных: hello@idash.kz.
Телефон: +7 707 666 77 88.

Обращения, связанные с персональными данными, принимаются по указанной электронной почте. В обращении укажите номер телефона или адрес почты, на которые зарегистрирован аккаунт, - без этого мы не сможем убедиться, что запрос исходит от владельца данных.

3. Какие данные мы собираем

Мы собираем только те данные, которые нужны для работы функций Сервиса. Большую часть данных вы вводите сами, и в любой момент можете их изменить или удалить в приложении.

3.1. Данные учётной записи

номер мобильного телефона и одноразовый код подтверждения при входе по SMS;
адрес электронной почты и факт её подтверждения;
идентификатор учётной записи и способ входа при регистрации через Google или Apple;
дата и время последнего входа.

3.2. Данные профиля

имя, дата рождения, пол;
фотография профиля, если вы её загрузили;
группа крови и резус-фактор, если вы их указали;
индивидуальный идентификационный номер (ИИН), если вы указали его добровольно;
язык интерфейса.

3.3. Данные о здоровье

Сведения о состоянии здоровья относятся к персональным данным ограниченного доступа и составляют тайну медицинского работника в значении статьи 273 Кодекса «О здоровье народа и системе здравоохранения». Мы обрабатываем их только по вашему согласию и не раскрываем третьим лицам, кроме случаев, описанных в разделах 7 и 8.

загруженные медицинские документы: результаты анализов, выписки, заключения, снимки, файлы PDF и изображения;
показатели, распознанные из этих документов, ваши комментарии и отметки к ним;
записи о вакцинации и загруженные документы о прививках;
принимаемые лекарства, дозировки, расписание приёма и отметки о выполнении;
данные женского цикла: даты менструаций, симптомы, отметки о половых контактах, настройки цикла;
данные беременности и обменной карты: сроки, вес по триместрам, чек-листы, аллергии, сведения о наблюдающих врачах;
данные раздела репродуктологии: выбранная программа, этапы, задачи и прикреплённые к ним документы;
дневник ребёнка: события, замеры и фотографии, которые вы добавили;
аудиозаписи приёма у врача, которые вы записали или загрузили, и их текстовые расшифровки;
переписка с ИИ-ассистентом внутри приложения.

3.4. Данные близких

Приложение позволяет вести профили членов семьи. Данные такого профиля вы вносите сами и отвечаете за то, что у вас есть на это право: согласие взрослого члена семьи либо статус законного представителя ребёнка. Подробнее - в разделе 14.

3.5. Активность в сообществе

публикации, комментарии и отметки «нравится» в разделе сообщества;
избранные материалы и услуги;
обращения в службу поддержки и их содержание.

Публикации и комментарии видны другим пользователям вместе с именем и фотографией профиля. Не размещайте там сведения, которые не хотите делать общедоступными.

3.6. Технические данные

версия приложения и платформа (iOS или Android);
токен push-уведомлений и признак того, включены ли уведомления;
служебные журналы сервера: IP-адрес, дата и время обращения, тип запроса и код ответа.

Приложение не собирает данные о вашей геолокации, не читает список контактов и не использует рекламные идентификаторы. Мы не используем ваши данные для рекламного профилирования и не продаём их третьим лицам.

4. Зачем мы обрабатываем данные

регистрация и вход в аккаунт, подтверждение номера телефона и адреса почты;
ведение личного дневника здоровья и хранение ваших медицинских документов;
распознавание показателей из загруженных документов и построение динамики;
напоминания о приёме лекарств, прививках, задачах программы и предстоящих приёмах;
работа календаря, разделов беременности, цикла, репродуктологии и дневника ребёнка;
предоставление врачу доступа к выбранным вами разделам после вашего подтверждения;
работа сообщества и модерация публикуемого контента;
ответы на обращения в поддержку;
обеспечение безопасности Сервиса, выявление сбоев и злоупотреблений;
исполнение требований законодательства Республики Казахстан.

Основанием обработки является ваше согласие, которое вы даёте при регистрации в приложении в порядке статьи 8 Закона № 94-V. Согласие даётся на срок использования Сервиса.

Вы вправе отозвать согласие в любой момент: письмом на hello@idash.kz или удалив аккаунт в приложении. Отзыв согласия означает прекращение обработки и уничтожение персональных данных в порядке раздела 13, кроме сведений, которые мы обязаны хранить по закону.

Отдельные действия требуют отдельного согласия. Например, доступ врача к вашим медицинским документам открывается только после того, как вы подтвердите запрос в приложении, и закрывается, как только вы его отзовёте.

6. Обработка с помощью искусственного интеллекта

Часть функций Сервиса работает на моделях искусственного интеллекта. Это важно понимать, потому что при их использовании содержимое ваших документов передаётся поставщику модели.

Распознавание документов. Загруженный файл анализа или заключения передаётся в модель OpenAI, которая переносит текст и показатели в структурированный вид. Модель не ставит диагноз: результат представляет собой расшифровку того, что написано в документе.
Расшифровка аудиозаписи приёма. Аудиофайл передаётся в модель распознавания речи OpenAI и возвращается текстом.
ИИ-ассистент. Ваш вопрос и приложенные к нему документы передаются в модель OpenAI для формирования ответа.
Модерация сообщества. Текст публикаций и комментариев проверяется сервисом модерации OpenAI на запрещённое содержание.

Передача выполняется по защищённому каналу через программные интерфейсы поставщиков. По условиям использования этих интерфейсов переданные данные не применяются для обучения моделей. Результат автоматической обработки носит вспомогательный характер, может содержать неточности и не заменяет заключение врача.

7. Доступ врача к вашим данным

Врач или клиника не получают доступ к вашим данным автоматически. Врач направляет запрос, вы видите его в приложении и решаете, принять или отклонить.

доступ выдаётся по разделам: паспорт здоровья, обменная карта, репродуктология;
врач видит только те разделы, которые вы разрешили, и заметки, которые он сам к ним оставил;
вы в любой момент отзываете доступ в приложении, после чего врач перестаёт видеть документы;
врачи и клиники обязаны соблюдать тайну медицинского работника в силу статьи 273 Кодекса «О здоровье народа и системе здравоохранения».

Мы привлекаем поставщиков услуг, без которых Сервис не работает. Каждому передаётся минимум данных, необходимый для его функции.

Google (Firebase Authentication, Firebase Cloud Messaging) - проверка входа в аккаунт и доставка push-уведомлений; передаются идентификатор учётной записи, номер телефона или адрес почты, токен устройства.
OpenAI - распознавание документов, расшифровка аудиозаписей, ответы ассистента, модерация сообщества; передаётся содержимое обрабатываемого документа, файла или текста.
Mobizon - отправка SMS с кодом подтверждения; передаётся номер телефона.
Resend и почтовый сервер - отправка писем с кодом подтверждения и служебных уведомлений; передаётся адрес электронной почты.
Врачи и клиники - в объёме и на срок, которые вы подтвердили сами (раздел 7).

Кроме того, данные могут быть предоставлены государственным органам Республики Казахстан по мотивированному требованию в случаях и порядке, установленных законом.

Мы не передаём персональные данные рекламным сетям, брокерам данных и иным лицам, не перечисленным в этом разделе.

9. Трансграничная передача

Часть поставщиков из раздела 8 находится за пределами Республики Казахстан: Google и OpenAI расположены в Соединённых Штатах Америки. Передача данных им является трансграничной и осуществляется в порядке статьи 16 Закона № 94-V, при условии обеспечения этими поставщиками защиты персональных данных в соответствии с их публичными условиями обработки данных и договорами о конфиденциальности.

Передаётся только то, что необходимо для конкретной операции: содержимое обрабатываемого документа или текста, идентификатор учётной записи, токен устройства. Мы не передаём за рубеж базу данных Сервиса целиком.

10. Где и сколько хранятся данные

База персональных данных и загруженные файлы размещаются в центре обработки данных на территории Республики Казахстан, как того требует пункт 2 статьи 12 Закона № 94-V.

данные профиля и медицинские записи хранятся, пока существует ваш аккаунт;
после запроса на удаление аккаунта данные хранятся 30 календарных дней и затем уничтожаются (раздел 13);
одноразовые коды подтверждения хранятся минуты и удаляются после использования или истечения срока;
служебные журналы сервера хранятся не дольше 12 месяцев;
отдельные сведения хранятся дольше, если этого требует законодательство Республики Казахстан.

Персональные данные уничтожаются по основаниям статьи 18 Закона № 94-V, в том числе по достижении целей обработки, при отзыве согласия и при прекращении отношений с вами.

11. Как мы защищаем данные

обмен данными между приложением и сервером идёт только по защищённому протоколу HTTPS;
чувствительные персональные данные и загруженные файлы хранятся в зашифрованном виде;
доступ к данным требует авторизации: каждый запрос проверяет, что данные принадлежат именно вам;
файлы хранятся в закрытом хранилище и выдаются только владельцу и тем, кому он открыл доступ;
доступ сотрудников к данным ограничен служебной необходимостью и разграничен по ролям;
действия администраторов фиксируются в журнале аудита;
применяются организационные и технические меры, предусмотренные статьями 22 и 23 Закона № 94-V.

Ни один сервис не может гарантировать абсолютную защиту. Если произойдёт нарушение безопасности, затрагивающее ваши данные, мы уведомим вас и уполномоченный орган в порядке, установленном законодательством.

12. Ваши права

В соответствии со статьёй 24 Закона № 94-V вы вправе:

знать, какие ваши персональные данные у нас есть, откуда получены, зачем и как долго обрабатываются;
требовать изменения и дополнения данных при наличии документально подтверждённых оснований;
требовать блокирования данных, если есть основания считать, что они собраны или обрабатываются с нарушением;
требовать уничтожения данных, собранных или обработанных с нарушением закона;
отозвать согласие на сбор и обработку;
защищать свои права и законные интересы, в том числе требовать возмещения вреда.

Большинство прав реализуется прямо в приложении: профиль, документы, записи и фотографии можно изменить или удалить самостоятельно. Для остальных запросов пишите на hello@idash.kz. Мы отвечаем в сроки, установленные законодательством Республики Казахстан: изменение, дополнение, блокирование или уничтожение данных выполняется в течение одного рабочего дня с момента подтверждения оснований.

13. Удаление аккаунта

Удалить аккаунт можно в приложении, в разделе профиля. После запроса аккаунт помечается на удаление и перестаёт быть доступен другим пользователям.

в течение 30 календарных дней запрос можно отменить, войдя в аккаунт: данные при этом сохраняются;
по истечении 30 дней профиль, медицинские записи, документы, файлы и публикации уничтожаются;
вместе с вашим аккаунтом удаляются профили близких, которые вы вели;
дольше сохраняются только сведения, которые мы обязаны хранить по закону, и обезличенные данные, по которым невозможно установить личность.

14. Дети и профили близких

Самостоятельная регистрация в Сервисе доступна лицам, достигшим 18 лет. Данные ребёнка вносит его родитель или иной законный представитель через семейный профиль, и он же даёт согласие на обработку этих данных.

Создавая профиль другого взрослого человека, вы подтверждаете, что получили его согласие на внесение и обработку его данных в Сервисе.

Если вам стало известно, что данные ребёнка внесены без согласия законного представителя, напишите на hello@idash.kz: мы проверим обращение и удалим такие данные.

15. Сайт idash.kz

Сайт носит информационный характер и не требует регистрации. Мы не используем на нём системы веб-аналитики и рекламные трекеры и не устанавливаем cookie для отслеживания посетителей.

Страницы сайта подключают шрифты и библиотеку оформления с внешних ресурсов Google Fonts и Tailwind CDN. При загрузке страницы этим ресурсам становится известен IP-адрес вашего устройства и сведения о браузере - так работает любая загрузка файла со стороннего домена.

Ссылки на App Store, Google Play и социальные сети ведут на сайты других компаний, и обработка данных там регулируется их собственными политиками.

16. Изменения политики

Мы можем изменять Политику: например, при появлении новых функций или изменении законодательства. Актуальная редакция всегда размещена по адресу idash.kz/privacy-policy, дата редакции указана в начале документа.

О существенных изменениях мы сообщаем в приложении или по указанным вами контактам. Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией.

17. Обращения и обжалование

По любым вопросам об обработке персональных данных пишите на hello@idash.kz или звоните по номеру +7 707 666 77 88.

Если ответ вас не устроил, вы вправе обратиться в уполномоченный орган в сфере защиты персональных данных - Министерство искусственного интеллекта и цифрового развития Республики Казахстан, а также обжаловать действия по обработке персональных данных в суде в порядке, установленном законодательством Республики Казахстан.