Полный текст документа
Политика конфиденциальности и данных о здоровье
Оператор и область действия
MIRACLE CO., регистрационный номер 7268792, 100 Elgar Pl Ste 17F, Bronx, NY 10475, USA является оператором/контролёром данных для theraphea.com, если отдельная функция прямо не указывает иное.
Политика применяется к сайту, психометрическим тестам, результатам, аккаунту, формам связи, статьям и связанным административным операциям. Она не распространяется на независимые сторонние сайты.
Какие данные мы получаем
- Данные теста: выбранный тест, ответы, пол там, где он нужен для расчёта, время начала и окончания, рассчитанные баллы, уровни, подшкалы, кризисные признаки и результат.
- Доказательство согласия: версия текста, время, подтверждение 18+, цель, способ действия, язык и идентификаторы попытки и результата.
- Аккаунт и профиль: адрес электронной почты, имя, телефон, город, год рождения, биография, аватар и данные входа в пределах включённых функций.
- Технические данные: IP-адрес обрабатывается инфраструктурой и механизмом ограничения частоты запросов во время обращения к сайту; мы можем получать сведения о браузере, устройстве, языке, адресе страницы, источнике перехода без параметров запроса и фрагмента адреса, журналы безопасности, случайные идентификаторы и псевдонимные хеши.
- Заявки и поддержка: выбранный способ связи, сообщение, идентификатор результата и зафиксированные согласия формы.
- Настройки браузера: язык, тема, состояние интерфейса, незавершённый тест, очередь отправки и временный локальный результат.
- Аналитика статей после отдельного согласия: идентификатор перевода статьи, путь статьи, сокращённый источник перехода, дата, признак автоматизированного просмотра и защищённый хеш случайного идентификатора просмотра и данных браузера.
- Административные события: доступ к результату, выдача и отзыв прав, запросы по данным, обработка инцидентов и действия сотрудников.
Источники данных
Основной источник — вы: ответы, профиль, формы, настройки и ваши действия. Технические данные поступают от браузера, Vercel, Supabase и включённого поставщика входа. Получатель уникальной ссылки может инициировать событие доступа к разрешённой части результата.
Мы не подключаем медицинскую карту, страховую систему, аптечный профиль, носимое устройство или иной независимый медицинский источник без отдельного уведомления и правовой проверки.
Цели и правовые основания
Если применим GDPR или британский GDPR, для чувствительных данных мы дополнительно опираемся на явное согласие по статье 9 (2)(a); само исполнение договора не заменяет условие для специальных категорий.
- Предоставить запрошенную самооценку, рассчитать, сохранить и показать результат — исполнение запроса/договора для обычных данных и явное согласие для чувствительных сведений о психическом здоровье.
- Создать аккаунт, выполнить вход, восстановление и управление профилем — исполнение запроса/договора.
- Защитить сервис, ограничить злоупотребления, расследовать ошибки и вести необходимый аудит — законный интерес и/или правовая обязанность, с минимизацией данных.
- Ответить на заявку или запрос по данным — ваш запрос, договорные меры, согласие, законный интерес или правовая обязанность в зависимости от ситуации.
- Считать просмотры публичных статей и использовать TGTrack — отдельное необязательное согласие на дополнительную аналитику.
- Измерять посещения рекламного сайта, источники рекламных переходов и конверсии с помощью Vercel Web Analytics, Google Analytics и Google Ads — аналитика работы сайта и рекламы; там, где закон или правила Google требуют согласия, оно должно быть получено до соответствующей обработки.
- Исполнить закон, судебный акт и защитить права — правовая обязанность и законный интерес.
Потребительские данные о здоровье
К таким данным относятся ответы, баллы, уровень выраженности, кризисные признаки, выводы и технические идентификаторы, которые могут раскрывать интерес к состоянию психического здоровья.
Мы собираем их непосредственно у пользователя для конкретной цели: провести выбранный тест, рассчитать, сохранить и показать результат, обеспечить доступ и безопасность. До сбора показываются категории, цель, основные получатели и способ отзыва.
Категории получателей: Vercel и Supabase как инфраструктура, ограниченный персонал и подрядчики по необходимости, а также человек, которому пользователь сам предоставил действующую ссылку с выбранными правами. Отдельное согласие потребуется для необязательной передачи, новой цели, привлечения поставщика технологий искусственного интеллекта, исследования или рекламы.
Мы не продаём потребительские данные о здоровье и не передаём ответы, баллы, ссылки на результаты или данные аккаунта в Google Ads, Google Analytics либо GTM. Google-теги используются только на рекламном сайте для измерения посещений, рекламных переходов и конверсий.
Автоматический расчёт
Результат автоматически рассчитывается по версии определения теста и правилам подсчёта. Это профилирование для информационной самооценки, а не решение о лечении, страховании, работе, кредите, доступе к услуге или иное решение с юридическим либо сходным существенным эффектом.
Результат может ошибаться из-за ограничений методики, контекста, ответов или программной ошибки. Можно запросить пояснение, исправление технической ошибки или удаление.
Данные в браузере
Незавершённые ответы хранятся в локальном хранилище этого домена до завершения или перезапуска теста либо очистки браузера. Очередь отправки и временный результат хранятся до 24 часов и удаляются при следующей проверке срока.
Локальное хранилище браузера не шифруется приложением и доступно любому скрипту, получившему выполнение на theraphea.com. Не проходите тест на чужом или общедоступном устройстве; после использования очистите данные сайта.
Сроки хранения
Когда конкретный срок не указан, применяются критерии: цель обработки, чувствительность, риск, активность аккаунта, возможность агрегирования, обязательные сроки и защита требований. Данные удаляются, обезличиваются или изолируются после исчезновения цели.
- Новые серверные результаты — как правило, не более 365 дней, если пользователь не удалил их раньше и закон не требует более длительного сохранения. Ранее созданные записи могут временно храниться по прежнему графику до переноса.
- Незавершённый тест — до завершения, перезапуска или очистки браузера; очередь отправки и локальный результат — до 24 часов с ленивой очисткой.
- Аккаунт и профиль — пока аккаунт активен и затем на период обработки удаления, предотвращения злоупотреблений и исполнения закона.
- Согласия, запросы по данным, доступы и журналы безопасности — столько, сколько разумно нужно для доказательства выбора, безопасности, разрешения спора и обязательного учёта.
- Заявки и сообщения — до завершения обращения и последующего ограниченного периода для качества, защиты требований и закона.
- Аналитика статей — до формирования необходимой статистики и окончания операционной или правовой потребности; файл cookie для учёта просмотров действует до 180 дней после согласия и удаляется при отказе.
- Резервные копии и журналы поставщиков удаляются по их циклам, договорным обязательствам и применимому праву.
Получатели и поставщики
Мы требуем от обработчиков конфиденциальность, ограничение цели, безопасность, помощь с правами и удалением в объёме, предусмотренном договором и законом. Актуальный список субподрядчиков можно запросить по электронной почте.
- Vercel — размещение сайта, сеть доставки контента, серверные функции, технические журналы и Vercel Web Analytics без cookie; Web Analytics хранит агрегированные данные и использует ежедневно обновляемый анонимный хеш посетителя.
- Google — контейнер GTM-NZ3DQMKH на рекламном сайте, Google Analytics G-7DRVR29H8P и Google Ads AW-18328424061 для измерения посещений, источников рекламы и конверсий.
- Supabase — база данных, вход, серверные процедуры и хранение профиля и результата; фактический рабочий регион и сроки хранения резервных копий и журналов должны соответствовать настройкам проекта.
- Включённые поставщики внешнего входа или одноразовых кодов — только если пользователь выбирает соответствующий способ входа.
- OpenAI — векторные представления редакционного содержания блога; ответы и результаты теста не передаются.
- Профессиональные консультанты, аудиторы, поставщики безопасности и государственные органы — при необходимости, договоре или законном требовании.
Аналитика, файлы cookie и реклама
Необходимые и запрошенные функциональные технологии работают без отдельного согласия на необязательные цели. Vercel Web Analytics работает без cookie. GTM загружается с analytics_storage, ad_storage, ad_user_data и ad_personalization в состоянии denied; Google Analytics, внутренняя аналитика и TGTrack включаются после разрешения аналитики, а Google Ads — после отдельного разрешения рекламы.
Vercel Web Analytics без cookie получает агрегированные данные просмотра. До выбора пользователя Google-теги работают только в ограниченном режиме Consent Mode; после выбора объём обработки зависит от отдельно разрешённых категорий. Код приложения не передаёт им ответы тестов, баллы, ссылки на результаты, имя, телефон, Telegram, email или значения формы. TGTrack запускается после разрешения аналитики.
Опубликованный GTM-контейнер включает Google Analytics G-7DRVR29H8P и Google Ads AW-18328424061. Cookie-панель передаёт выбор в Google Consent Mode: разрешение аналитики не разрешает рекламу автоматически, а Global Privacy Control удерживает рекламные разрешения в состоянии denied. Передача полей формы в dataLayer, расширенные конверсии, Customer Match и ремаркетинг не реализованы.
Международная обработка
Оператор находится в США, а поставщики могут обрабатывать данные в США, ЕЭЗ, Великобритании и других странах. Уровень защиты может отличаться от страны пользователя.
Когда закон требует, применяются договорные и организационные меры, например стандартные договорные положения, британское дополнение к ним, оценка передачи и ограничение доступа. Мы не полагаемся на общее согласие как на постоянную замену необходимых механизмов передачи.
Точная схема зависит от рабочего региона Supabase, журналов, субподрядчиков и включённых функций входа; её следует подтвердить до целевого запуска в конкретной юрисдикции.
Безопасность
Ни одна система не гарантирует абсолютную безопасность. При инциденте мы ограничим распространение, расследуем, уведомим поставщиков, регуляторов и пользователей в сроки применимого закона.
- Защищённое соединение HTTPS при передаче, серверные границы, строгая проверка попытки и ограничение размера.
- Сырые результаты недоступны напрямую публичным ролям базы; чтение идёт через серверные проверки.
- Секреты владельца и выданного доступа хранятся как криптографические хеши; права доступа можно ограничивать и отзывать.
- Механизм ограничения частоты запросов обрабатывает IP во время запроса и хранит защищённый отпечаток области запроса вместо исходного IP; временные записи очищаются.
- Доступы и административные действия журналируются; персоналу предоставляется минимально необходимый доступ.
Права и запросы
Запрос направляется на info@theraphea.com. Для защиты результата мы можем подтвердить сеанс аккаунта, сеанс владельца, владение адресом электронной почты или действующим правом доступа. Не присылайте пароль или полный секрет в открытом письме.
Мы отвечаем в срок применимого закона; для законов штатов США обычно не позднее 45 дней с допустимым продлением. При отказе укажем причину и доступный порядок апелляции.
Отзыв не делает незаконной обработку до отзыва. После отзыва мы прекращаем будущую обработку по этому основанию и удаляем данные, если нет отдельного обязательного основания.
- Узнать, обрабатываем ли мы данные, и получить доступ или копию.
- Исправить неточные данные и дополнить неполные.
- Удалить данные, отозвать согласие и прекратить будущую обработку на основании согласия.
- Ограничить обработку, возразить, запросить переносимость и обжаловать отказ, когда это предусмотрено законом.
- Отказаться от продажи и целевой рекламы, а также использовать глобальный сигнал конфиденциальности Global Privacy Control. Мы заявляем, что не продаём данные и не используем их для такой рекламы.
- Подать жалобу надзорному органу по месту проживания, работы или предполагаемого нарушения.
Дополнительные права штатов США
Для жителей штатов Вашингтон, Невада, Коннектикут и иных штатов с законами о потребительских данных о здоровье применяются более специальные права и определения, когда сервис подпадает под соответствующий закон.
До сбора раскрываются категории, цель, категории получателей и способ отзыва; необязательная передача требует отдельного согласия. Пользователь может запросить доступ, отзыв и удаление, включая передачу требования обработчикам в предусмотренном законом объёме.
Мы не дискриминируем за добросовестное осуществление права. Обязательные исключения для безопасности, запрошенной услуги, юридической защиты и закона сохраняются.
ЕЭЗ и Великобритания
Если GDPR или британский GDPR применяется, MIRACLE CO. выступает контролёром. Основания и условие для специальных категорий указаны выше. Пользователь также имеет право на жалобу, переносимость, ограничение и отзыв согласия.
Theraphea не использует результат для решения с юридическим или сходным существенным эффектом. Если появится такая функция, потребуется отдельная оценка, информация о логике, человеческое вмешательство и обжалование.
Представитель в ЕЭЗ/Великобритании и специалист по защите данных в этом документе не указаны. Если характер целевого предложения или масштаб обработки создаёт обязанность назначения, это должно быть выполнено до такого запуска; текст политики не заменяет назначение.
Русскоязычный доступ и требования Российской Федерации
Русская версия предоставляется для удобства и не означает, что иностранная инфраструктура автоматически соответствует требованиям РФ о первичной записи данных граждан РФ в базы на территории РФ или требованиям к письменному согласию на сведения о здоровье.
Текущее поле подтверждения фиксирует явное электронное действие, но не заявляется как усиленная или простая электронная подпись для случаев, когда закон требует письменное согласие. Такое требование нельзя устранить формулировкой в политике.
До подтверждения локализации, уведомлений, трансграничной передачи и подходящего процесса электронной подписи или одноразового кода целевой запуск для граждан РФ требует отдельной инфраструктурной и юридической проверки.
Несовершеннолетние
Сервис предназначен для лиц 18+. Мы не намеренно собираем данные детей. Если мы узнаем, что несовершеннолетний передал данные вопреки этому правилу, примем разумные меры для прекращения обработки и удаления.
Если сервис когда-либо откроется несовершеннолетним, до запуска понадобятся отдельная проверка возраста, согласие родителей, меры защиты, сроки хранения и детская оценка рисков.
Изменения и контакт
Мы обновляем версию и дату при изменении целей, категорий, поставщиков или прав. Новая необязательная цель не применяется к уже собранным чувствительным данным без требуемого нового согласия.
Контролёр: MIRACLE CO., регистрационный номер 7268792, 100 Elgar Pl Ste 17F, Bronx, NY 10475, USA. Запросы по конфиденциальности и данным о здоровье: info@theraphea.com.