Политика конфиденциальности

Редакция от 11 августа 2026 года · приложение Clam и сайт clam.mom

Блокер релиза: до публикации юрист должен утвердить и вставить проверенное наименование оператора, регистрационные данные, адрес, контакт по вопросам конфиденциальности и представителя, если он нужен. Это предупреждение не заменяет реквизиты.

Коротко. При использовании соответствующих функций на сервер в ЕС могут попадать данные аккаунта, профилей, анализов, введённые данные о здоровье, согласия, AI-диалоги, события безопасности и подписки. Трекеры малыша, дневники, настроение и альбом остаются на телефоне. Внешний AI работает только после отдельного согласия. Мы по возможности удаляем прямые идентификаторы, но данные о здоровье и свободный текст могут вас идентифицировать. Мы не продаём данные и не используем их для таргетированной рекламы. Удаление аккаунта запускается в приложении и идёт по срокам ниже.

1. Кто мы

Clam разрабатывает и поддерживает команда Clam (clam.mom). Полные реквизиты оператора — наименование, регистрационный номер и юридический адрес — сейчас оформляются и будут опубликованы в этом разделе. До тех пор вопросы о ваших данных и запросы по ним идут на support@clam.mom и обрабатываются по правам и срокам из раздела 9.

2. Какие данные мы обрабатываем на сервере

Данные	Что именно	Зачем
Аккаунт	E-mail, пароль в виде необратимого хэша (argon2), язык интерфейса	Вход в аккаунт, восстановление доступа, защита от взлома
Профили	Имя, дата рождения, пол, страна, сведения о беременности (по желанию) — для вас и членов семьи, которых вы добавили	Корректная интерпретация анализов и персонализация разделов
Документы анализов	Загруженные вами фото/PDF лабораторных бланков, распознанные показатели и их статусы	Распознавание и понятное объяснение результатов
AI-тексты	Сгенерированные AI-объяснения, резюме для врача и сообщения AI-чата (если вы пользуетесь AI-функциями)	Показ истории объяснений и диалогов; входят в экспорт и удаляются вместе с аккаунтом
Введённые данные о здоровье	Названия лекарств и добавок, заметки о дозе, симптомы и события ленты, которые вы вводите для профиля	Лента здоровья, отчёты, экспорт и выбранный вами AI-контекст
Вход и восстановление	Идентификатор аккаунта Google при таком входе, записи refresh-сессий, хэши одноразовых токенов и события аудита безопасности	Вход, отзыв сессий, восстановление доступа и защита от злоупотреблений
Подписка	Технический идентификатор Clam, событие магазина/RevenueCat, продукт, право доступа, статус и связанные даты	Проверка Clam+, сверка покупок и выполнение обязанностей учёта
Согласия	Версия текста, дата, язык и факт принятия	Подтверждение, что вы ознакомлены с условиями
Технические данные	Служебные журналы запросов и записи аудита (без содержания медицинских данных) — храним до 365 дней	Стабильность, безопасность и защита от злоупотреблений

Правовые основания (GDPR)

Мы обрабатываем данные на следующих правовых основаниях: исполнение договора — ведение аккаунта и показ ваших результатов; явное согласие — обработка данных о здоровье, включая документы анализов и AI-функции (ст. 9(2)(a) GDPR); законный интерес — безопасность, предотвращение злоупотреблений и технические журналы; юридическая обязанность — ответы на запросы, когда этого требует закон.

3. Что остаётся только на вашем устройстве

трекеры малыша (сон, кормления, подгузники), журнал малыша, замеры роста и вехи развития;
трекеры мамы: шевеления, схватки, вес;
чек-ины настроения («ракушки»), раздел «Как я» и ответы помощника;
прогресс курсов, альбом УЗИ, чек-листы, заметки и настройки напоминаний.

Эти данные не передаются на сервер и недоступны нам. Они удаляются при выходе из аккаунта или удалении приложения.

4. Где и как хранятся данные

Сервер расположен в Европейском союзе (Нюрнберг, Германия, дата-центр Hetzner).
Передача данных защищена HTTPS (TLS).
Пароли хранятся только в виде необратимого хэша (argon2); сами пароли нам неизвестны.
Зашифрованные backup-наборы включают базу и документы. Они хранятся вне основного сервера, в объектном хранилище на территории ЕС, и удаляются, когда становятся старше 30 дней. Ключ расшифровки на сервере не хранится. Восстановление из копии проверено на реальном наборе.
Сгенерированные PDF-отчёты автоматически удаляются в течение 7 дней.
Доступ к серверу ограничен и защищён ключами.

5. Распознавание документов (OCR)

Распознавание загруженных анализов выполняется программами на нашем собственном сервере — документы не передаются сторонним сервисам. Если в будущем появится возможность улучшенной обработки внешним ИИ-сервисом, она будет работать только после вашего отдельного явного согласия и будет описана в этой политике.

Загруженные оригиналы хранятся, пока вы не удалите документ, профиль или аккаунт.

6. AI-функции: объяснения, подготовка к приёму, AI-чат

AI-функции включаются только после вашего отдельного явного согласия. Его можно отозвать; новые AI-запросы прекратятся. Перед отправкой приложение показывает настроенного внешнего процессора, регион, срок хранения и статус zero-data-retention. Clam по возможности удаляет распространённые прямые идентификаторы, но payload остаётся персональными данными о здоровье и может идентифицировать вас по свободному тексту или контексту. Он может включать:

названия показателей, значения, единицы, референсы лаборатории и их статусы;
даты анализов, вычисленный возраст, пол, признак и срок беременности профиля;
введённые вами названия препаратов/добавок, описания симптомов и текст вашего вопроса.

Приложение спроектировано так, чтобы не включать в AI-промпт имя профиля, e-mail, имя пациента с бланка, дату рождения и внутренние идентификаторы. Это снижение риска, а не анонимность. Обучение и хранение у процессора зависят от проверенного договора аккаунта, показанного на экране согласия; Clam не даёт общего обещания об отсутствии обучения. AI-чат учитывает анализы только в диалогах, где вы явно включили «Учитывать данные здоровья».

Каждый ответ AI проходит автоматические фильтры безопасности: AI-тексты не содержат диагнозов, назначений и дозировок и не являются медицинской консультацией. «Инсайты динамики» работают без внешнего AI — это программные подсказки на нашем сервере.

7. Кому мы передаём данные

Мы не продаём и не передаём ваши данные рекламным сетям и брокерам данных.
Инфраструктурный провайдер (Hetzner Online GmbH, Германия) обеспечивает работу сервера и обрабатывает данные строго как технический подрядчик.
Настроенный AI-процессор получает персональные данные о здоровье и свободный текст для ответа только при использовании AI-функции после согласия (см. раздел 6). Проверенное название и условия показаны до обработки.
Магазины приложений (Google Play, App Store) обрабатывают платежи за подписку самостоятельно — мы не видим ваши платёжные данные.
RevenueCat, Inc. (США) обрабатывает статус подписки; получает только технический идентификатор аккаунта (UUID) и факты покупок из магазина приложений — никогда не получает ваше имя, e-mail или данные о здоровье.
Resend (США) отправляет служебные письма аккаунта (подтверждение e-mail, сброс пароля); получает ваш адрес e-mail и текст письма.
Google — только если вы выбрали «Вход через Google»: мы проверяем ваш токен Google и храним техническую связку с аккаунтом; Google самостоятельно знает о факте входа.
Голосовой ввод распознаётся речевым сервисом вашего устройства/ОС (например, Google) по его собственным условиям; сервер Clam не получает аудио.
Передача возможна, если этого прямо требует закон.

Трансграничная передача

RevenueCat и Resend могут обрабатывать данные в США. Регион AI-процессора зависит от настроенного аккаунта и показывается вам до согласия. Механизм каждой такой передачи, договор с процессором и список субпроцессоров сейчас проверяются; мы не считаем SCC или Data Privacy Framework применимыми без подтверждения и назовём здесь каждый механизм, как только он будет подтверждён. Детали можно запросить по адресу support@clam.mom.

8. Сколько храним

Активные данные аккаунта и здоровья хранятся, пока существует аккаунт или пока вы не удалите соответствующую запись. Удаление аккаунта сразу блокирует новые изменения и запускает повторяемый процесс очистки базы, документов и подключённых сервисов подписки. Ограниченные зашифрованные копии удаляются, когда становятся старше 30 дней. События аудита безопасности могут храниться до 365 дней. Записи для биллинга, защиты от мошенничества, споров или выполнения закона могут храниться обязательный срок; доступ к ним ограничен, и продукт их не использует. Soft-deleted лекарства, добавки, симптомы и события ленты окончательно удаляются через 30 дней.

9. Ваши права

экспортировать все свои данные одним файлом (JSON) — прямо в приложении;
удалить отдельный анализ, исходный документ или профиль;
полностью удалить аккаунт со всеми данными — см. инструкцию;
отозвать согласия и задать любой вопрос о данных: support@clam.mom.

Отвечаем на запросы в течение 30 дней. Если вы находитесь в ЕС/ЕЭЗ, вам также доступны права, предусмотренные GDPR (доступ, исправление, удаление, ограничение обработки, переносимость, возражение, жалоба в ваш местный надзорный орган).

10. Дети

Clam предназначен для взрослых (родителей и будущих родителей). Данные о детях (имя, дата рождения, измерения) вводит и контролирует родитель в рамках своего аккаунта. Добавляя профиль ребёнка, родитель подтверждает, что является родителем или законным представителем ребёнка и вправе вносить его данные; данные ребёнка обрабатываются на основании явного согласия родителя.

11. Изменения политики

При существенных изменениях мы сообщим в приложении и обновим дату редакции на этой странице. Продолжение использования после вступления изменений в силу означает согласие с новой редакцией.

12. Контакты

Вопросы о конфиденциальности: support@clam.mom