Политика конфиденциальности и обработки персональных данных

1. Общие положения

Настоящая Политика описывает, как обрабатываются данные пользователей сайта ogur.app и мобильного приложения «Ogur» («Огур») для iOS и Android («Сервис»). Оператор персональных данных («Оператор», «мы») — Бабаян Георгий Георгиевич, физическое лицо; адрес регистрации: 119296, г. Москва, ул. Молодёжная, д. 4; email по вопросам персональных данных: info@ogur.app.

Сервис предназначен для пользователей, достигших 16 лет, и помогает вести дневник питания и привычек. Пользователям 16–17 лет доступны дневник и общие советы по питанию. Автоматический расчёт целей по калориям, БЖУ и изменению веса доступен с 18 лет; до 18 лет индивидуальный план питания и изменения веса следует обсудить с врачом. Сервис не является медицинским изделием, не ставит диагнозы и не заменяет врача.

2. Какие данные мы обрабатываем

В зависимости от функций мы можем обрабатывать:

1. Данные аккаунта: email, имя (если оно есть в профиле входа), идентификатор аккаунта в Сервисе, способ входа и данные сессии. Вход выполняется по одноразовому коду, который приходит на email. Для аккаунтов, созданных через вход Яндекс ID до 01.10.2026, хранятся полученные тогда от Яндекса имя, email, дата рождения и идентификатор аккаунта Яндекс ID. Мобильным приложением можно пользоваться и без входа, как гость: после экрана согласий Сервис создаёт гостевой аккаунт без email и имени, со случайным идентификатором, датой рождения и согласиями, и все функции, кроме покупок в магазине комнаты Огура, работают с ним так же, как с аккаунтом. Вместе с гостевым аккаунтом обрабатывается идентификатор установки приложения: случайный идентификатор, по которому Сервис ограничивает, сколько гостевых аккаунтов, распознаваний и сообщений чата с Огуром приходится на одну установку в день. Когда гость входит в аккаунт, гостевой аккаунт становится обычным аккаунтом с тем же идентификатором и данными. Если на выбранном способе входа уже есть аккаунт, пользователь входит в него, а гостевой аккаунт удаляется со всеми данными, как при удалении аккаунта; данные не объединяются.
2. Данные профиля и благополучия: дата рождения и возраст, пол, рост, текущий и целевой вес, цель, уровень активности, темп изменения веса, вес и самочувствие по дням.
3. Данные дневника: приемы пищи, продукты и граммовка, калории, БЖУ, собственные блюда пользователя, итоги недели и прогресс. Поисковые запросы по справочнику продуктов обрабатываются при поиске и не сохраняются.
4. Пользовательский контент: текст, которым пользователь описал еду, фотографии еды и чеков и голосовые записи, добровольно отправленные для распознавания, и расшифровка голосовой записи; сообщения, которые пользователь пишет в чате с Огуром, ответы Огура, предложенные в чате варианты блюд и ссылки на записи дневника, созданные из чата.
5. Технические данные: IP-адрес, тип устройства и браузера, версия ОС и приложения, язык, часовой пояс устройства, журналы ошибок и события безопасности.
6. Данные продуктовой аналитики: события использования Сервиса, просмотренные страницы и экраны, источник перехода, псевдонимный идентификатор и приблизительное местоположение (страна и город по IP-адресу). Параметры здоровья, тексты записей и сообщений чата, имя и email в аналитику не передаются.
7. Обращения в поддержку и история предоставленных или отозванных согласий.
8. Данные из приложения «Здоровье» (Apple Health) на iPhone, если пользователь разрешил доступ в системном запросе: количество шагов и активные калории за день и по дням и названия устройств, с которых они получены (например, iPhone или Apple Watch). Эти данные только читаются и обрабатываются приложением на устройстве пользователя: Оператору, на сервер Сервиса, языковым моделям, в чат с Огуром, в аналитику и третьим лицам они не передаются. В «Здоровье» приложение записывает только зарядки и только если пользователь сам включил это на экране «Зарядки»: тренировку (функциональная силовая) со временем начала и конца, без калорий, пульса и других показателей. Запись делает приложение на устройстве; Оператору и третьим лицам из «Здоровья» ничего не передаётся. Активные калории — оценка Apple Watch или iPhone, они не меняют ориентир калорий; пользователям 16–17 лет они не показываются. Доступ можно изменить в любой момент в приложении «Здоровье».
9. Продукты дома, если пользователь ведёт этот список в приложении: названия продуктов, сколько граммов куплено и сколько осталось, откуда продукт добавлен (из чека, голосом или вручную), дата покупки, ссылка на распознанный чек, из которого он добавлен, и базовые продукты (соль, масло, специи), которые пользователь отключил. Из чека в список попадают только товары, которые пользователь сам отметил, с названием и весом, без цен и суммы покупки.
10. Данные статистики сайта, которые собирает Яндекс Метрика (только на сайте ogur.app, не в приложении): IP-адрес, тип устройства, браузера и операционной системы, размер экрана, язык, источник перехода и рекламные метки, просмотренные страницы, клики, прокрутка и перемещения указателя, по которым сервис Вебвизор воспроизводит запись визита. Форм ввода на сайте нет; данные аккаунта, профиля, дневника, чата и здоровья счётчик не получает (раздел 5, Яндекс Метрика).
11. Данные для оценки рекламы приложения и напоминаний, которые собирает AppMetrica (в мобильном приложении; события уведомлений передаёт сервер Сервиса): идентификатор устройства в AppMetrica, на Android также рекламный идентификатор Google (GAID), тип и модель устройства, версия ОС и приложения, язык, IP-адрес, источник установки (рекламные метки ссылки на Google Play), установка и запуски приложения и события использования: регистрация (способ входа: почта, Google, Яндекс ID или Apple), первая и каждая следующая сохранённая запись еды (способ записи: фото, текст, голос, чек, чат или повтор приёма пищи; у каждой записи ещё приём пищи: завтрак, обед, ужин или перекус, сделана ли она в течение 2 часов после открытия уведомления и тип этого уведомления), первая выбранная цель (только тип цели: похудеть, держать вес или набрать массу), первое разрешение уведомлений, первое и каждое следующее сообщение в чате с Огуром, на которое пришёл ответ (только то, напечатано оно или выбрано из подсказки, без текста сообщения), серии записей в 3, 7 и 14 дней, первая покупка за баллы в магазине комнаты Огура (предмет и его цена в баллах) и события уведомлений, по одному на каждое уведомление: уведомление отправлено; уведомление не отправлено, потому что пользователь в контрольной группе эксперимента с напоминаниями (10% новых пользователей напоминания не получают); Apple Push Notification Service или Firebase Cloud Messaging приняли уведомление (это не подтверждение того, что телефон его показал); пользователь открыл уведомление. У событий уведомлений есть только внутренний номер уведомления в Сервисе (случайный идентификатор, который в AppMetrica не связан с аккаунтом), тип уведомления, шаг цепочки напоминаний, характер Огура и группа эксперимента, без текста уведомления. События уведомлений передаёт в AppMetrica сервер Сервиса и привязывает их к устройству по хэшу идентификатора устройства в AppMetrica, который хранится в базе Сервиса рядом с токеном push-уведомлений устройства (раздел 7). Каждое событие несёт платформу: Android или iOS. На iOS рекламный идентификатор (IDFA) не собирается и разрешение на отслеживание не запрашивается. На Android рекламный идентификатор можно сбросить или удалить в настройках устройства. Идентификатор устройства в AppMetrica записывается и в продуктовую аналитику, чтобы связать установку из рекламы с использованием Сервиса. Идентификатор аккаунта, имя, email, состав и калорийность еды, фото, голос, тексты чата и уведомлений, вес, рост, возраст, значения целей по весу и калориям и данные о здоровье в AppMetrica не передаются (раздел 5, AppMetrica).
12. Итоги недели и заметки Огура: раз в неделю Сервис подводит итоги дневника за неделю (карточки итогов, первое сообщение Огура о неделе в чате, задание на следующую неделю и его выполнение) и ведёт короткие заметки о привычках и предпочтениях пользователя в еде, например «завтракает овсянкой» или «просит хвалить, а не ругать». Вес, диагнозы, лекарства и калории в заметки не записываются. Пользователь видит заметки в приложении на экране «Огур запомнил» и может удалить любую.
13. Зарядки, если пользователь ими пользуется: дата, выбранный план и уровень, тихий режим, сколько упражнений из скольких сделано, время начала и конца, ответ на вопрос «Как прошло?», отметка, что памятка перед первой зарядкой показана, выбранный и купленные за баллы тренеры. Зарядки подбираются по правилам без языковых моделей, в модели эти данные не передаются; в продуктовую аналитику уходят только факты открытия экрана, начала и окончания зарядки, ответа и покупки тренера, без минут и калорий.
14. Карточка дня на экране блокировки: на iPhone — токены Live Activity (токен для утреннего запуска карточки и токен каждой карточки) с идентификатором приложения, средой и схемой ссылок, журнал отправок карточки (дата, тип отправки, доставлена ли, ошибка) и даты, когда пользователь смахнул карточку. Чтобы показать и обновить карточку, сервер Сервиса отправляет через Apple Push Notification Service серию дней, дневную цель в калориях и калории по завтраку, обеду, ужину и перекусу, без названий блюд. На Android карточку и виджет рисует приложение на устройстве, на сервер для них ничего не передаётся.

На устройстве пользователя хранятся: в браузере на сайте — служебные отметки аналитики и статистики (cookie и локальное хранилище, в том числе cookie Яндекс Метрики); в мобильном приложении — данные сессии входа, в том числе гостевого аккаунта, и идентификатор установки приложения в защищённом хранилище устройства, отметки аналитики (в том числе AppMetrica) и цель по шагам, а также последняя карточка дня для уведомления и виджетов и отметка о согласии записывать зарядки в «Здоровье». На Android копия данных сессии гостевого аккаунта и идентификатора установки хранится также в хранилище Block Store сервисов Google Play на том же устройстве, чтобы гость мог продолжить после переустановки приложения; резервное копирование этой копии в облако Google Сервис не включает. Копия данных сессии гостевого аккаунта удаляется при входе в аккаунт, выходе и удалении данных гостя. Значения из приложения «Здоровье» не сохраняются ни на устройстве, ни в iCloud: они находятся только в памяти приложения, пока оно открыто, и стираются при выходе из аккаунта.

Мы не запрашиваем точную геолокацию, контакты, медицинские документы или платежные реквизиты, если соответствующая функция явно не добавлена и Политика не обновлена заранее. Доступ к приложению «Здоровье» запрашивается только после того, как пользователь нажал «Подключить», и только на чтение шагов и активных калорий; разрешение на запись тренировок запрашивается только после того, как пользователь включил запись зарядок.

3. Цели и основания обработки

Данные используются для создания и защиты аккаунта; расчета ориентировочных показателей питания; распознавания добровольно отправленных фото, голоса и текста; ведения дневника и прогресса; ведения списка продуктов дома и подбора блюд из него в чате с Огуром; показа шагов и активных калорий из приложения «Здоровье» рядом с питанием на устройстве пользователя; персонализации подсказок и ответов в чате с Огуром; поддержки; предотвращения злоупотреблений, в том числе ограничения числа гостевых аккаунтов, распознаваний и сообщений чата с одной установки приложения в день; выполнения закона; оценки рекламы приложения (какая рекламная кампания привела к установке, регистрации, записям еды и другим событиям из пункта 11 раздела 2); оценки того, помогают ли напоминания вести дневник (сравнением с контрольной группой, которой напоминания не отправляются), и улучшения Сервиса на основе агрегированной статистики, продуктовой аналитики и статистики посещений сайта, в том числе оценки эффективности рекламы.

Основания: исполнение Пользовательского соглашения, отдельное информированное согласие, выполнение обязанностей по закону и иные разрешенные законом основания. Для чувствительных данных о здоровье и благополучии используется отдельное явное согласие, тексты согласий опубликованы на странице https://ogur.app/consent/ru. Согласие на рекламу и рассылки запрашивается отдельно и не является условием основных функций.

4. AI и автоматизированная обработка

Текст, которым пользователь описал еду, голосовая запись приема пищи и фотография блюда или чека передаются на сервер Сервиса, а с него — языковым моделям и модели распознавания речи через шлюз моделей организаторов конкурса. Шлюз и модели работают в России. Используются модели deepseek-v4.1-flash (разбор текста и расшифровок голоса, чат с Огуром), qwen3.6-35b-a3b (фото блюд и чеков) и whisper-large-v3 (распознавание речи). Для распознавания модели получают только то, что нужно распознать: текст, изображение или звук, а для уточнения продуктов — названия и калорийность подходящих позиций из справочника, в том числе собственных блюд пользователя; без идентификатора аккаунта, имени, email и данных профиля.

В чате с Огуром сообщение пользователя передается на сервер Сервиса, а с него — модели deepseek-v4.1-flash через тот же шлюз. Чтобы ответ учитывал цель, день и неделю пользователя, вместе с сообщением модель получает: до 12 последних сообщений чата, цель с начальным и целевым весом и темпом изменения веса, дневные нормы калорий и БЖУ, съеденное за сегодня (приемы пищи и их время, названия блюд, калории и БЖУ), итоги последних 7 дней (число записей, калории и белок по дням, названия продуктов, которые повторялись, и число дней с ними), заметки Огура и заголовок и задание последних итогов недели, любимые и привычные продукты, названия продуктов дома и базовых продуктов, которые пользователь не отключил, пищевые предпочтения, в том числе аллергии, выбранный характер Огура и отметку, что пользователю 16–17 лет; без идентификатора аккаунта, имени и email. Сообщения о болезнях, лекарствах, беременности и кормлении грудью и о признаках расстройства пищевого поведения, которые сервер распознает по тексту, модели не передаются: на них сервер отвечает заготовленным текстом. В историю чата для следующих ответов модели такие сообщения не попадают. Если такую тему распознала сама модель, сообщение уже передано ей, но в историю чата для следующих ответов оно тоже не попадает.

Итоги недели готовит модель Claude Opus 4.8 через тот же шлюз, один раз в неделю, без участия пользователя. Модель получает: факты недели, которые посчитал сервер (дни с записями, средние калории, попадание в дневную норму, белок, время ужинов, самые частые и новые продукты, выполнение прошлого задания), дневник недели (время и прием пищи, названия продуктов, калории и белок), пол и имя для обращения, цель с начальным и целевым весом, дневные нормы калорий и белка, итоги трех прошлых недель, текущие заметки Огура и сообщения пользователя в чате с Огуром за эту неделю; без идентификатора аккаунта и email. Шаги, активные калории и данные из приложения «Здоровье», а также взвешивания модели не передаются. Пользователю 16–17 лет итоги готовятся без калорий и норм. Если дней с записями меньше трех или модель не ответила, итоги собираются по шаблону без модели. 10% пользователей итоги недели не получают: это контрольная группа, по которой проверяется польза функции.

Если пользователь пишет в чате с Огуром, что съел («я съел…»), текст сообщения разбирается на продукты и граммовку так же, как текстовый ввод, и сохраняется в записи дневника как текст, которым описана еда.

Голосовая запись переводится в текст, и распознанный текст разбирается на продукты и граммовку так же, как текстовый ввод. Аудиозапись не сохраняется: сервер удаляет ее сразу после распознавания, а расшифровка сохраняется в записи дневника. Перед распознаванием фото уменьшается, из него удаляются метаданные (EXIF, в том числе геометка). Фотография блюда или чека удаляется с сервера автоматически не позднее 24 часов после загрузки: сервер каждые полчаса удаляет фото старше 23 часов.

Список продуктов дома можно надиктовать. Голосовая запись так же переводится в текст моделью whisper-large-v3, а модель deepseek-v4.1-flash выделяет из расшифровки названия продуктов и их вес; без идентификатора аккаунта, имени, email и данных профиля. Аудиозапись удаляется сразу после распознавания, расшифровка показывается пользователю для проверки и на сервере не сохраняется: в список попадают только продукты, которые пользователь подтвердил. Чек для списка продуктов распознаётся так же, как чек для записи еды.

Результаты являются вероятностной оценкой и могут быть неточными. Сервис не принимает решений, порождающих юридические последствия. Идентифицируемые пользовательские данные не используются Оператором для обучения общедоступных моделей.

5. Передача обработчикам и получателям

Только необходимые данные передаются поставщикам, действующим по нашим поручениям:

• Selectel (Россия, Москва) — хостинг сайта и сервера, база данных PostgreSQL, объектное хранилище, резервные копии, технические журналы и данные продуктовой аналитики: данные аккаунта и профиля, дневник, продукты дома, история чата с Огуром (не дольше 30 дней), технические данные, фото блюд и чеков (не дольше 24 часов).
• Шлюз моделей организаторов конкурса (Россия) — передает запросы языковым моделям и модели распознавания речи. Для распознавания: текст описания еды или расшифровку голоса, в том числе надиктованного списка продуктов дома, фото блюда или чека, голосовую запись, названия подходящих позиций справочника; без идентификатора аккаунта, имени, email и данных профиля. Для чата с Огуром: сообщение пользователя, последние сообщения чата, данные о цели, съеденном за день и за последние 7 дней, предпочтениях и продуктах дома, перечисленные в разделе 4; без идентификатора аккаунта, имени и email. Для чата с Огуром также заметки Огура и заголовок и задание последних итогов недели. Для итогов недели: данные, перечисленные в разделе 4; без идентификатора аккаунта и email.
• Яндекс Метрика (ООО «Яндекс», Россия) — статистика посещений сайта и запись визитов (Вебвизор): данные из пункта 10 раздела 2. Данные аккаунта, профиля, дневника, чата и здоровья в Метрику не передаются; счётчик установлен только на сайте.
• AppMetrica (ООО «Яндекс», Россия) — оценка рекламы мобильного приложения и напоминаний: данные из пункта 11 раздела 2; события уведомлений передаёт сервер Сервиса. AppMetrica определяет, какая рекламная кампания привела к установке и к событиям из пункта 11 раздела 2, и передаёт факты установки и этих событий в рекламные кабинеты Сервиса в Яндекс Директе и VK Рекламе (Россия); события уведомлений в рекламные кабинеты не передаются. На iOS установки не сопоставляются с рекламными сетями, рекламный идентификатор не собирается и пользователь не отслеживается в приложениях и на сайтах других компаний. Идентификатор аккаунта, имя, email, состав и калорийность еды, фото, голос, тексты чата и уведомлений, вес, рост, возраст, значения целей по весу и калориям и данные о здоровье в AppMetrica не передаются.

Мы не продаем персональные данные и не используем данные о здоровье для рекламы или несвязанного профилирования. Данные из приложения «Здоровье» никому не передаются и не используются для рекламы, маркетинга или анализа данных.

6. Хранение в России и отсутствие трансграничной передачи

Персональные данные пользователей записываются, систематизируются, накапливаются, хранятся, уточняются и извлекаются в инфраструктуре Selectel на территории Российской Федерации; резервные копии хранятся в РФ. Все обработчики и получатели из раздела 5 находятся в России, трансграничная передача персональных данных не осуществляется.

7. Сроки хранения

• Аккаунт, профиль и дневник — пока действует аккаунт; удаление из основной базы выполняется не позднее 30 дней после подтвержденного запроса.
• Гостевой аккаунт и его данные — пока гость пользуется Сервисом. Гостевой аккаунт, в котором 180 дней не было активности, удаляется автоматически вместе со всеми данными, как при удалении аккаунта.
• Идентификатор установки приложения — на сервере вместе с гостевым аккаунтом; дневные счётчики ограничений по нему (сколько гостевых аккаунтов создано, сколько распознаваний и сообщений чата за день) хранятся 2 дня и удаляются автоматически, в том числе после удаления гостевого аккаунта. На устройстве — пока установлено приложение; на Android копия в Block Store может сохраниться после переустановки приложения на том же устройстве.
• Дневник и контент — пока нужны пользователю либо до их удаления/удаления аккаунта.
• Фото блюд и чеков — удаляются автоматически не позднее 24 часов после загрузки.
• Голосовые записи — удаляются сразу после распознавания; расшифровка хранится в записи дневника.
• Журнал распознавания (текст, которым описана еда, расшифровка голоса, распознанные позиции и правки к ним) — 90 дней для улучшения распознавания, затем удаляется автоматически; при удалении аккаунта удаляется сразу.
• История чата с Огуром — 30 дней, затем удаляется автоматически; пользователь может очистить ее раньше, при удалении аккаунта она удаляется сразу. Сообщение, которым пользователь записал еду в чате, хранится в записи дневника как текст, которым описана еда, пока запись не удалена.
• Итоги недели — пока действует аккаунт, удаляются вместе с ним. Сообщение Огура об итогах в чате хранится как вся история чата, 30 дней.
• Заметки Огура — пока пользователь их не удалил и действует аккаунт. У удаленной заметки текст стирается сразу, а служебная строка из ее слов в нижнем регистре без знаков препинания хранится, чтобы Огур не записал ту же заметку снова, и удаляется вместе с аккаунтом.
• Продукты дома — пока продукт в списке и действует аккаунт. Продукт, который пользователь убрал из списка или отметил как закончившийся, удаляется автоматически через 90 дней; при удалении аккаунта весь список удаляется сразу. Ссылка на распознанный чек пропадает вместе с журналом распознавания через 90 дней, сам продукт остаётся в списке.
• Обычные технические логи — 30 дней; логи безопасности — 12 месяцев без содержимого записей, фотографий и аудио.
• Данные статистики сайта в Яндекс Метрике, включая записи Вебвизора, — в пределах сроков хранения, которые Яндекс устанавливает для сервиса; в базе Сервиса они не хранятся.
• Данные в AppMetrica — в пределах сроков хранения, которые Яндекс устанавливает для сервиса. В базе Сервиса из них хранится только хэш идентификатора устройства в AppMetrica: рядом с токеном push-уведомлений устройства, где он удаляется вместе с токеном (при выходе из аккаунта на этом устройстве или когда токен перестал действовать), и в журнале отправки уведомлений, где он удаляется вместе с записью журнала через 90 дней; при удалении аккаунта он удаляется сразу. Идентификатор устройства в AppMetrica в продуктовой аналитике удаляется вместе с аккаунтом.
• Закрытые обращения в поддержку — 12 месяцев.
• Согласия (версия, дата и время) — пока действует аккаунт; удаляются вместе с аккаунтом.
• Запись о запросе на удаление аккаунта (идентификатор аккаунта, время запроса и время удаления) — бессрочно, как подтверждение исполнения запроса.
• Зарядки — пока действует аккаунт, удаляются вместе с ним.
• Токены карточки дня — токен карточки до её закрытия и не дольше следующего дня; токен утреннего запуска до выхода из аккаунта на устройстве, удаления аккаунта или пока Apple не сообщит, что он недействителен. Журнал отправок карточки и даты смахивания — 30 дней, затем удаляются автоматически; при удалении аккаунта удаляются сразу.
• Данные из приложения «Здоровье» — не хранятся: находятся в памяти приложения, пока оно открыто, и стираются при выходе из аккаунта.
• Резервные копии — перезапись не позднее 35 дней после удаления данных из основной базы.

Дольше данные хранятся только для выполнения закона, разрешения спора или защиты от мошенничества. Затем они удаляются или необратимо обезличиваются.

8. Защита

Используются разграничение доступа, шифрование при передаче, журналирование, резервное копирование и обновление компонентов. Ни один метод не гарантирует абсолютную безопасность. При инцидентах мы выполняем требования применимого законодательства.

9. Права пользователя

Пользователь вправе получить сведения и копию данных, потребовать уточнения, блокирования или удаления, отозвать согласие и обжаловать обработку. Запрос направляется на info@ogur.app; для защиты аккаунта может потребоваться проверка личности.

Удалить аккаунт можно в приложении в разделе «Профиль»; если войти не получается, запрос на удаление направляется с адреса аккаунта на info@ogur.app. Гость удаляет свои данные в разделе «Профиль» или на экране нового согласия кнопкой «Удалить мои данные», без кода на почту. Порядок описан на странице https://ogur.app/delete-account/ru. Удаление приложения с устройства не удаляет ни аккаунт, ни данные гостя.

10. Изменения и контакты

Дата и версия указаны сверху. О существенных изменениях сообщается в приложении; новое согласие запрашивается, когда это требуется. Реквизиты Оператора указаны в разделе 1; вопросы по персональным данным: info@ogur.app; поддержка: support@ogur.app; безопасность: security@ogur.app.