Политика конфиденциальности

Relieff не предназначен для людей, находящихся в Российской Федерации. Доступ с российских сетевых адресов закрыт на входе, до самого приложения: такой запрос не открывает ни одной страницы и ничего в базе не создаёт.

Чтобы запрет работал, сетевой адрес запроса сверяется со списком российских сетей. Сверка идёт на нашем же сервере и до приложения; отдельной записи об этом адресе она не оставляет, наружу ничего не отправляет, и третьих лиц в ней нет. Что мы храним об адресе в остальных случаях — ниже, в пункте «Вход и безопасность».

• Аккаунт — адрес электронной почты, имя, отметка о подтверждении адреса и отметка о том, кто за этот адрес поручился — наше письмо или Google. Регистрация закрыта: аккаунт заводит администратор сервиса, вписывая ваше имя и адрес, и за адрес на этом шаге ручается он. Пароль вы задаёте сами по ссылке из письма-приглашения, и храним мы не пароль, а его криптографический хеш: восстановить исходный пароль из него нельзя. При входе через Google дополнительно храним идентификатор вашего аккаунта Google и ссылку на аватар. Администратор видит список аккаунтов: имя, адрес, роль, способ входа, дату заведения и день последнего визита.
• Снимок профиля — если вы его загрузили — сам файл в нашей базе, уменьшенный до 256 пикселей по стороне. Уменьшает его ваш браузер, поэтому исходный файл к нам не попадает вовсе. Снимок отдаётся по прямой ссылке без проверки входа: так его кэширует браузер, и так его видят участники ваших общих счетов. Убрать его можно в настройках в любой момент — он исчезает сразу и целиком.
• Гости ваших встреч — если вы позвали кого-то на событие — адрес, который вы назвали, и его ответ. Писем мы по этим адресам не отправляем: у кого есть аккаунт Relieff с таким адресом, тот увидит встречу в своём календаре, остальным о ней скажете вы сами. Приглашённый видит название, время и место встречи; убрать его можно в любой момент, и запись исчезает сразу.
• Резервные адреса почты — если вы добавили запасные адреса, храним их вместе с отметкой о подтверждении и о том, откуда адрес взялся — ввели вы его сами или он пришёл из привязанного аккаунта Google. Через такой адрес можно войти и восстановить пароль, поэтому письма сервиса уходят и на него тоже. Удалить резервный адрес можно в любой момент в настройках, и он исчезает сразу — но отметка о времени последнего отправленного письма остаётся у аккаунта: она нужна, чтобы форму нельзя было превратить в рассыльщик по чужим адресам, добавляя и удаляя запись подряд. Самих адресов в этой отметке нет, только время.
• Вход и безопасность — сессии с временем создания и истечения, IP-адрес и строку браузера, с которых вход выполнен, а также счётчики частоты запросов к формам входа и сброса пароля. Без них нельзя ни держать вас в системе, ни отбиться от перебора паролей.
• Ваши финансовые записи — счета и их валюты, начальные остатки, кредитные лимиты, последние цифры номера карты, если вы их вписали, отметки сверки — день, названный вами остаток и время проверки, — категории, операции с суммами, датами и заметками, бюджеты, подписки с суммой и сроком оплаты. Полного номера карты сервис не спрашивает и не хранит. У каждой операции сохраняется, кто её записал. Это то, ради чего сервис и существует; данные вводите вы сами.
• Совместные счета — если вы позвали кого-то в свой счёт, храним приглашение с адресом почты, который вы ввели, и права, которые вы решили выдать. Приглашение живёт месяц, а отменить его можно в любой момент — тогда запись исчезает сразу. Принятое приглашение превращается в запись о доступе: кто участвует в счёте, что может делать и какой долей считает счёт своим. Письма приглашённому мы не отправляем: приглашение он видит внутри сервиса, если адрес подтверждён в его аккаунте.
• Записи о приёме лекарств — если вы пользуетесь разделом «Здоровье» — названия препаратов, разовую дозу и дозировку, расписание приёма, а когда доза или расписание меняются, — и прежние вместе с моментом смены, чтобы прошлые дни показывались такими, какими были; даты начала и окончания курса, остаток в упаковке, заметки и отметки о том, что вы приняли или пропустили, вместе со временем отметки. Это данные о здоровье — специальная категория персональных данных, и относимся мы к ним соответственно: вы вводите их сами и по своей воле — или поручаете это помощнику, которому сами выдали доступ, — об этом ниже. Нужны они только для того, чтобы показать вам ваше же расписание и напомнить о приёме, и кроме вас и такого помощника их никто не видит. Раздел можно не открывать вовсе, а заведённый курс — удалить в любой момент.
• Дневник питания — если вы пользуетесь дневником в разделе «Здоровье» — что вы съели, сколько, в какое время суток и к какому приёму пищи это отнесли, а также карточки продуктов, которые вы завели или отсканировали: название, марку, штрихкод, калорийность и белки, жиры, углеводы на сто граммов. Там же отметки о выпитой воде — объём и время каждой. Туда же попадает дневная норма, если вы её задали. Это тоже данные о здоровье, и обходимся мы с ними так же: они нужны только вам и показываются только вам и помощнику, которому вы сами выдали доступ, — об этом ниже. Наружу — в открытую базу продуктов — уходит один штрихкод, без имени, адреса и любой другой вашей приметы; подробнее об этом ниже.
• Вес, цель и рост — если вы записываете вес в разделе «Здоровье» — ваш вес, день и время каждого взвешивания (у записанного в тот же день — момент записи, у прошлого дня — полдень) и время, когда вы его записали, а также целевой вес и рост, если вы их указали, и время их последней правки. Из этих чисел сервис считает среднее за неделю, сдвиг за срок и индекс массы тела — на лету, отдельно их не хранит. Это данные о здоровье, и обходимся мы с ними так же, как с записями о лекарствах: они нужны только вам и показываются только вам, а увидеть их может, кроме вас, лишь помощник, которому вы сами выдали доступ, — об этом ниже. Взвешивание удаляется из истории на странице его динамики и исчезает из базы сразу; цель и рост снимаются пустым полем.
• Шаги и цель по шагам — если вы записываете шаги в разделе «Здоровье» — число шагов за каждый записанный день, день и время записи (у записанного в тот же день — момент записи, у прошлого дня — полдень) и время, когда вы её сделали, а также цель на день, если вы её указали, и время её последней правки. Шаги вы вписываете сами: к Google, Samsung и другим сервисам здоровья мы не подключаемся и ничего оттуда не получаем. Средние за неделю и месяц сервис считает на лету и отдельно не хранит. Это данные о здоровье, и обходимся мы с ними так же, как с весом: они показываются только вам и помощнику, которому вы сами выдали доступ. Запись удаляется из истории на странице её динамики и исчезает из базы сразу; цель снимается пустым полем.
• Ваши заметки — если вы пользуетесь разделом «Заметки» — заголовок и текст каждой заметки в том виде, в каком вы их набрали, вместе со временем создания и последней правки. Что писать, решаете вы: сервис сам не разбирает содержимое, не ищет в нём смысла и никому его не передаёт. Проверить правописание можно кнопкой «Проверить», и где проверять, выбираете вы: на устройстве браузер один раз скачивает словарь с нашего сервера и проверяет сам, текст никуда не уходит; на сервере Relieff текст заметки уходит на наш сервер проверки — о нём ниже, в разделе «Кому данные попадают». Если вы включили к заметке возвращение, хранится ещё её ритм: как часто показывать, когда показать снова и когда вы перечитывали её в последний раз. Заметку можно убрать в архив или удалить совсем, и тогда она исчезает из базы сразу — вместе с ритмом.
• Ваши задачи и события календаря — если вы пользуетесь разделами «Задачи» и «Календарь» — название и описание задачи, её срок, приоритет, правило повтора вместе с часами, если задача повторяется несколько раз в сутки, проект, к которому вы её отнесли, за сколько до срока о ней напомнить и отметка о выполнении; у повторяющейся задачи — ещё и история: срок каждого сделанного вхождения, время, когда его отметили, и кто именно; в общей задаче — кому она поручена и реплики обсуждения с именем автора и временем; название, описание, место, время начала и окончания события, правило его повтора и календарь, в который вы его положили. Что записывать, решаете вы: сервис не разбирает содержимое, не ищет в нём смысла и никому его не передаёт. Задача, событие, проект и календарь удаляются в интерфейсе в любой момент, и запись исчезает из базы сразу — вместе с задачей уходит и её история.
• Засечённое время работы над задачами — если вы пользуетесь секундомером в разделе «Задачи» — когда вы начали и когда закончили каждый заход, по какой именно задаче он был и вписали ли вы его время руками вместо того, чтобы засечь кнопкой: заход можно поправить или записать задним числом. Это запись о том, чем и когда вы занимались, поэтому скажем прямо: из неё видно распорядок вашего дня. Она нужна вам и показывается вам — в том числе сводкой на странице статистики, где сервис складывает её по задачам, проектам и дням. Другим людям она видна, только если вы сами включили «Показывать участникам моё засечённое время» в доступе к совместному проекту: тогда участники этого проекта видят суммы вашего времени по его задачам за выбранный ими период, вплоть до одного дня, но не отдельные заходы и не их часы. Выключить показ можно там же в любой момент, и суммы пропадут у участников сразу. Сервис не строит по этой записи оценок вашей продуктивности и никуда её не выгружает. Заход записывается только вашим действием — кнопкой секундомера или окном захода. Убирается он из меню строки задачи, окном захода или корзиной на его полосе в календаре, и запись исчезает из базы сразу.
• Товары на маркетплейсе — если вы пользуетесь разделом «Маркетплейс» — название товара, площадку, артикул продавца и номер карточки, ссылку на неё, цену продажи и ожидаемый тираж; список компонентов с ценой за единицу, поставщиком и сроком поставки; состав товара с количествами; статьи расходов со ставками и суммами; долю рекламы и выкупа, если вы их указали; текст инструкции по сборке или заказу. Если вы задали налог для расчёта — налоговый режим (самозанятость или упрощённая система), его ставку и платите ли вы взносы ИП: по ним видно, кто вы как продавец, поэтому называем их отдельно. Налог нужен только для расчёта прибыли, в налоговую и куда-либо ещё не уходит; поменять или убрать его можно там же, где он задан. В остальном это данные о вашем деле, а не о человеке: в кабинет площадки сервис ходит, только если вы его подключили, и меняет там только цены — когда их ставят из сервиса; о покупателях ничего не знает и никому эти записи не передаёт. Товар и компонент удаляются в интерфейсе, и запись исчезает из базы сразу.
• Фото и файлы инструкций — если вы добавили их в инструкцию товара — сами файлы, их имена, размер и время загрузки. Фото уменьшает ваш браузер до 1600 пикселей по длинной стороне и при этом стирает всё, что камера пишет внутрь снимка, — геометку, модель телефона, время съёмки: исходный снимок к нам не попадает. Остальные файлы хранятся как есть, байт в байт. Лежат они на диске нашего сервера рядом с базой и отдаются вам после входа. Есть и второй путь — ссылка, которую по просьбе подключённого вами помощника сервис выдаёт ему на десять минут: по ней один файл скачивается без входа, у кого бы ссылка ни оказалась. Отозвать её раньше срока нельзя, но она гаснет, если файл удалить. Больше никому файлы не передаются. В резервные копии они не попадают — об этом ниже, в разделе о сроках.
• Заказы с маркетплейса — если вы подключили кабинет и обновили продажи — по каждому отправлению номер заказа и отправления, статус, схема доставки, дата оформления и обещанная дата доставки, название и номер карточки товара, количество и сумма. Имя покупателя, его адрес и телефон площадка по части отправлений отдаёт, а сервис их не читает и не хранит. Записи исчезают вместе с аккаунтом.
• Продажи с маркетплейса — если вы подключили кабинет и обновили продажи — начисления площадки за проданное: дата и номер начисления, номер отправления, схема доставки, название и номер карточки товара, начисленная сумма и то, из чего она сложилась — цена покупателя, баллы площадки за скидку и программы партнёров, — а также удержанная комиссия, стоимость услуг и сумма к выплате. Это деньги вашего дела: имени покупателя, его адреса и состава заказа в начислениях нет, и мы их не запрашиваем. Записи исчезают вместе с аккаунтом.
• Удержания маркетплейса — тем же обменом — то, что площадка берёт не с продажи: реклама, хранение, эквайринг, обратная логистика, штрафы и подписки. У каждого удержания хранятся дата, номер начисления, вид и его название словами площадки, сумма и номер отправления, если удержание к нему привязано. Это тоже деньги вашего дела, а не сведения о людях. Записи исчезают вместе с аккаунтом.
• Реклама на маркетплейсе — если вы подключили рекламный кабинет Ozon — ваши рекламные кампании (название, тип, состояние, стратегия, бюджеты) и их статистика по дням и по товарам: показы, клики, добавления в корзину, заказы, их сумма и расход. Покупателей в этой статистике нет — только числа по вашим кампаниям и карточкам. Записи исчезают вместе с магазином или аккаунтом его владельца.
• Журнал цен маркетплейса — если цены ставили в кабинет из сервиса — по каждой отправке: товар и его артикул, какие цена, зачёркнутая и минимальная цена стояли в кабинете и какие ушли, ответ площадки, время, откуда пришла цена (вручную или от помощника) и кто из участников магазина её отправил. Журнал нужен, чтобы ответить на вопрос «кто и когда поставил эту цену» и не превысить предел площадки — десять смен цены товара в час. Последние отправки видят участники магазина на карточке товара. Записи исчезают вместе с магазином или аккаунтом его владельца; если отправивший удалит свой аккаунт, в журнале магазина остаётся отправка без указания, кто её сделал.
• Доступ к кабинету маркетплейса — если вы подключили Ozon — идентификатор продавца и ключ Seller API в зашифрованном виде, а если подключили и рекламный кабинет — идентификатор его сервисного аккаунта и секрет, тоже зашифрованный. При каждом ключе — время последнего удачного обмена и текст последней ошибки, если она была. Ключи шифруются секретом установки, которого нет в базе; расшифровать их без доступа к серверу нельзя, и в резервную копию они попадают уже зашифрованными дважды. Временный пропуск, который рекламный кабинет выдаёт на полчаса, живёт только в памяти сервера и в базу не пишется.
• Устройства для напоминаний — если вы включили уведомления о приёме лекарств, о начале событий, о сроке задач, о поручённых вам задачах или о мыслях, к которым пора вернуться, — адрес подписки, который выдал ваш браузер, два его ключа шифрования и метку вида «Chrome на macOS», чтобы вы понимали, какое устройство отключаете. Отключение стирает запись сразу.
• Настройки — часовой пояс, первый день недели, число начала учётного месяца, валюта отчётов, то, показывать ли названия лекарств, событий, задач и заметок в тексте уведомления, время, в которое присылать мысли, и когда такое уведомление уходило последним, список разделов, убранных в «Прочее» или, наоборот, включённых оттуда, то, какие разделы стоят кнопками в нижней панели телефона, вид календаря, выбранный последним, — вместе с числом дней, если это лента из нескольких дней, — и порядок подсказок блока «Что сделать сейчас», если вы его меняли.
• Отложенные подсказки — если вы скрыли подсказку блока «Что сделать сейчас» до завтра — какую именно и до какого момента. Наутро подсказка возвращается, а сама отметка стирается, когда вы откладываете что-нибудь в следующий раз.
• Письма — содержание отправленных вам служебных писем не сохраняется; в базе остаются только одноразовые ссылки подтверждения адреса и смены пароля, и те живут час.
• Обращения по данным — если вы написали нам из настроек аккаунта — текст обращения, время, наш ответ, время ответа и время, когда вы его прочли: ответ считается прочитанным, когда показался вам в настройках или вы отметили его на главной. Видны они вам и владельцу сервиса — так владелец знает, дошёл ли ответ. О новом обращении владелец узнаёт уведомлением, о нашем ответе — вы, если уведомления включены; текста обращения в уведомлении нет.
• Пожелания помощника — если подключённому вами помощнику по MCP не хватило какого-то действия, он может оставить пожелание: чего не хватило и зачем, своими словами. Хранятся текст, время, ваш идентификатор, отметка владельца — ждёт, сделано или не будет — и его ответ. Помощника просят не вписывать в пожелание ваших личных данных, но пишет его модель, а не мы. Видны пожелания владельцу сервиса и вашему помощнику — свои, чтобы он не просил одно и то же дважды и узнал ответ. Сами вы видите их в выгрузке своих данных.
• Отчёты о сбоях — если у вас что-то сломалось — текст ошибки с её причинами и стек вызовов нашего кода, раздел и адрес страницы, версия сборки, время и ваш идентификатор в сервисе. Если сломалось на сервере — ещё метод запроса и строка, которой ваш браузер себя называет. Если в браузере — ещё браузер и система, размер окна, открыто ли приложение установленным, была ли сеть, версия сборки в открытой вкладке, сколько вкладка открыта и последние десять разделов, по которым вы прошли до поломки, с тем, за сколько секунд до неё. Нажатия, введённое и содержимое страниц сюда не попадают. Если не справилась фоновая задача, связанная с вами, — например, обмен с кабинетом площадки, — в отчёте ваш идентификатор. Идентификатор нужен ровно для одного: понять, у скольких людей воспроизводится поломка, и при необходимости написать вам. Адреса записываются без строки запроса. Содержимое ваших записей мы в отчёт не кладём — он описывает наш сломавшийся код, а не то, что вы в него ввели, — но обещать, что обрывок введённого никогда не попадёт в текст самой ошибки, было бы нечестно: такую строку составляет не только наш код. Отчёты хранятся на нашем сервере и видны только владельцу сервиса; разбирать их он может вместе с ИИ-помощником — об этом ниже, среди получателей.

В сервисе нет систем аналитики, рекламных сетей и трекеров. Мы не строим ваш профиль, не продаём данные и не передаём их рекламодателям. Страницы не подгружают сторонние шрифты, скрипты и картинки, поэтому при работе с сервисом ваш браузер не обращается к чужим серверам. Cookie-баннера нет, потому что нечему давать согласие: все куки — технические.

Мы ставим пять кук, и все технические. Первая — идентификатор сессии: она недоступна скриптам страницы, помечена как строгая по домену и живёт тридцать дней, если вы не вышли раньше. Остальные четыре хранят настройки вида на этом устройстве: тему оформления — «светлая», «тёмная» или «как в системе», — ширину страницы на компьютере, масштаб часов в календаре и то, какие разделы страницы товара вы держите раскрытыми. Живут они год и ничего о вас не сообщают: нужны, чтобы страница приходила с сервера сразу такой, какой вы её настроили. Установленное как приложение Relieff хранит на устройстве собственные файлы оформления и экран для работы без сети; ваши личные страницы в этот кэш не попадают намеренно. Записанное без связи — вода, вес, шаги, заметка — ждёт отправки в хранилище браузера вместе с идентификатором вашего аккаунта и часовым поясом из настроек: по ним запись уходит именно в ваш аккаунт и ложится в нужный день. Отправленная запись с устройства стирается, а при выходе из аккаунта и при его удалении стирается и всё неотправленное. Панель проверки правописания помнит в браузере, где вы проверяете, и слова, которые вы велели запомнить; к нам они не уходят. Разрешение на уведомления браузер спрашивает отдельно и только когда вы сами нажимаете кнопку в настройках, в карточке «Уведомления»; отозвать его можно там же или в настройках браузера.

• Чтобы сервис работал — показать ваши счета и операции, посчитать отчёты, напомнить о сроке подписки, о приёме лекарства и о задаче по вашему же расписанию, сказать, что вам поручили задачу в общем проекте, показать задачи и события вашего календаря на нужный день, посчитать себестоимость и прибыль товара по введённым вами ценам, статьям расходов и налогу.
• Чтобы вход был безопасным — подтверждение адреса, ограничение частоты попыток, список активных сессий.
• Чтобы связаться по делу — письмо-приглашение, когда администратор завёл вам аккаунт, письма о подтверждении адреса, смене пароля, о смене основного адреса и привязке нового способа входа и, при необходимости, о существенных изменениях в этом документе. Рассылок и рекламы мы не отправляем.

Список получателей короткий и зависит от того, чем вы пользуетесь: Google — если вы выбрали вход через него, GitHub — как хранилище зашифрованных копий, push-сервис вашего браузера — если вы включили напоминания, Open Food Facts — если вы ищете продукт по штрихкоду, Ozon — если вы подключили свой кабинет продавца, внешний помощник — если вы сами выдали ему ключ, хостинг сервера проверки — если вы проверяете заметку на сервере, ИИ-помощник владельца — обезличенный отчёт, если у вас что-то сломалось. Ниже полный список внешних сторон, с которыми сервис вообще имеет дело.

• Google — только если вы сами выбрали вход через Google или привязали его в настройках. При этом Google узнаёт, что вы пользуетесь Relieff, а мы получаем от него ваш адрес почты, имя, аватар и идентификатор аккаунта; полученный адрес сохраняется резервным. Ваши финансовые записи Google не получает.
• GitHub — там хранятся резервные копии базы — в приватном репозитории, зашифрованные паролем, который есть только у нас, и не дольше девяноста дней. Без ключа копия нечитаема.
• Хостинг — сервер арендован у RuWeb. К вашим записям провайдер отношения не имеет, но машина физически стоит у него и оборудование обслуживает он.
• Сервер проверки правописания — второй наш сервер, арендованный у AEZA Group в Финляндии. Туда уходит текст заметки — только когда вы сами нажали «Проверить» и выбрали «На сервере Relieff». Уходит один текст, без вашего имени, адреса почты и идентификатора, и отправляет его наш основной сервер, а не ваш браузер. Путь шифруется, а проверяет текст свободная программа LanguageTool, запущенная у нас же, без обращений куда-либо дальше. Чтобы проверить текст, её нужно его прочитать, поэтому на время проверки он лежит в памяти сервера открытым; на диск он не пишется — ни в журналы, ни в кэш — и после ответа не хранится. К вашим записям провайдер отношения не имеет, но машина физически стоит у него. Через этот же сервер идёт обмен с Ozon, если вы подключили кабинет, — об этом ниже, в пункте «Ozon».
• Почтовый сервис адресата — служебные письма уходят с нашего сервера напрямую на почтовый сервер вашего адреса. Внешних почтовых рассыльщиков мы не используем. Писем от вас мы не принимаем: отвечать на служебное письмо бесполезно, а обращения пишутся в самом сервисе и хранятся в нашей базе.
• Push-сервис вашего браузера — только если вы включили напоминания о приёме лекарств, о начале событий, о сроке задач, о поручённых вам задачах или о мыслях, к которым пора вернуться; на те же устройства приходит и уведомление о нашем ответе на ваше обращение — без его текста. Уведомление идёт через сервис того браузера, которым вы пользуетесь: у Chrome это Google, у Safari — Apple, у Firefox — Mozilla. Текст уведомления шифруется ключами самого браузера ещё у нас на сервере, и прочитать его этот посредник не может — ему видны только адрес подписки, размер и время отправки. По умолчанию ни названий лекарств, ни названий событий, задач и заметок нет и в самом тексте: уведомление показывается на экране блокировки, поэтому в нём стоит лишь их число, пока вы не разрешите обратное в настройках.
• Open Food Facts — открытая база продуктов, которую ведут сами покупатели. Наш сервер обращается к ней только в тот момент, когда вы сканируете штрихкод или вводите его руками, и передаёт ровно одно — цифры этого штрихкода. Ни кто вы, ни что вы ели, ни ваш адрес площадка не получает: запрос идёт с нашего сервера, а не из вашего браузера. Ответ — название, марка и ценность продукта — сохраняется у нас карточкой, поэтому второй раз тот же код наружу уже не уходит. Распознавание штрихкода целиком происходит в вашем браузере: изображение с камеры никуда не отправляется и нигде не сохраняется.
• Ozon — только если вы сами подключили кабинет продавца в разделе «Маркетплейс». Тогда сервер обращается к Seller API от вашего имени — вашим идентификатором продавца и вашим ключом — и получает оттуда данные о ваших же товарах: названия, артикулы, цены, комиссии и остатки на складах, а по отдельной кнопке — заказы и начисления за проданное и удержанное. Если вы подключили и рекламный кабинет, сервер так же читает из Performance API ваши кампании и их статистику — ключом сервисного аккаунта, который вы создали сами. В рекламном кабинете сервис ничего не меняет. В обратную сторону уходят только цены товаров — цена, зачёркнутая и минимальная, — и только когда их ставите вы, участник магазина, которому вы дали право менять цены, или подключённый вами помощник. Ничего другого в кабинете сервис не меняет. Данные покупателей — имена, адреса, содержимое отправлений — мы не запрашиваем вовсе. Соединение с Ozon — и с Seller API, и с рекламным кабинетом — идёт через второй наш сервер в Финляндии: с основного площадка отвечает через раз. Он только передаёт зашифрованный поток как есть — шифрование идёт от основного сервера до самого Ozon, — поэтому ни ключ, ни полученные данные он прочитать не может и ничего из них не хранит. Ключ хранится в базе зашифрованным и наружу не отдаётся даже вам: подтвердить, что записан нужный, можно по последним четырём знакам. Отключить кабинет и стереть ключ можно в том же разделе в любой момент.
• Внешний помощник (MCP) — только если вы сами выдали ключ в настройках или разрешили подключение кнопкой в самом приложении. Доступ открывается по протоколу MCP: сервис, которому вы его дали, — например Claude — работает с разделом «Маркетплейсы», а также видит ваши счета с остатками, операции книги, назначенные лекарства, дневник питания вместе с карточками продуктов и дневной нормой, взвешивания вместе с целевым весом и ростом, шаги вместе с целью по ним, мысли — те заметки, к которым вы сами включили возвращение, с их текстом и ритмом; остальные заметки ему не видны, — и задачи, которые видите вы: свои и задачи общих проектов, с названиями проектов, заметками, сроками, повторами и вашими метками. Кому поручена задача, он видит только как «вам», «другому» или «никому», без имени. У ключа три права, и вы выбираете их сами: только смотреть; смотреть, заводить компоненты, товары, состав и закупки, записывать доходы и расходы, заводить курсы лекарств, добавлять в них купленные пачки и отмечать приём, записывать съеденное, вес и шаги, заводить новые мысли, заводить задачи, отмечать их сделанными и править у них название, заметку, приоритет, метки и срок; или управлять разделом «Маркетплейсы» — править и удалять записи склада, расходов и движений, запускать обмен с кабинетом площадки и ставить в нём цены, — а также менять дозу, расписание и сроки курсов лекарств, завершать курс и возвращать его из архива. Цены помощник ставит в два шага: сначала получает расчёт — что стоит в кабинете и что уйдёт, — который должен показать вам, и только потом отправляет; без права менять цены в магазине не может и он. Товары и компоненты не удаляет ни одно из прав: их архивируют, потому что на них ссылается история. Операции учёта помощник не правит и не удаляет ни при каком праве: операция записывается один раз и живёт в отчётах. Курс лекарства он заводит и меняет по вашей просьбе, а сервис велит ему сначала пересказать вам схему — что, сколько, когда и с какой даты — и записывать только после вашего согласия; смена дозы или расписания действует с названного дня и прошлых приёмов не переписывает, а удалить курс помощник не может — только завершить. Записи дневника питания помощник тоже не правит и не удаляет — вес на глаз ошибается, и поправляете его вы, — а карточки продуктов и норму не меняет. Взвешивания и шаги помощник не удаляет — за день он может только записать их заново, и новая запись заменяет прежнюю, — а цели и рост не меняет ни при каком праве. Мысли помощник не правит, не удаляет и не отмечает перечитанными — перечитываете их вы. Задачи помощник не удаляет ни при каком праве, не ставит им повтор и исполнителя и не переносит между проектами, а в общем проекте может только то, что можете в нём вы. Ключ кабинета площадки помощнику не показывается ни при каком праве, и ввести или стереть его он не может. Фото и файлы инструкций помощник видит списком — имя, размер, день загрузки, — а сам файл может скачать по ссылке на десять минут, которую сервис выдаёт ему по запросу при любом праве: она открывает только то, что ключ и так даёт читать. Всё, что помощник запросил, уходит на его сторону и попадает в его модель — по тем же правилам, по которым туда попадает любой ваш вопрос в чате; отвечает за них он, а не мы. Своего ИИ у Relieff нет, и никаких ваших данных мы никуда для обучения не отправляем. Ключ хранится отпечатком, а не целиком, — показать его второй раз не можем даже мы. При подключении кнопкой ключа нет вовсе: приложение регистрируется у нас само, и мы запоминаем его название и адрес возврата, а вы на отдельной странице видите, о чём вас просят, и вправе разрешить только просмотр. Выданные ключи и разрешения, время последнего обращения и последние вызовы видны в настройках; там же и то и другое отзывается, и обращения прекращаются сразу.
• Разбор сбоев с ИИ-помощником — отчёт о сбое владелец сервиса может разбирать вместе с ИИ-помощником — сейчас это Claude компании Anthropic. Уходит отчёт без вашего идентификатора: люди в нём названы буквами по порядку появления, и из отчёта видно, один человек наткнулся на поломку или несколько, но не кто именно. Остальное — как в отчёте: текст ошибки, стек, адреса страниц без строки запроса (в них бывают номера ваших записей, но не то, что в записях), браузер, размер окна и путь по разделам. Что с этим текстом делает Anthropic, определяют её правила.
• Разбор пожеланий с ИИ-помощником — пожелания помощников владелец сервиса тоже может разбирать вместе с ИИ-помощником — тем же Claude компании Anthropic. Уходят текст пожелания, время, отметка и ответ — без вашего идентификатора: люди названы буквами, и видно, один человек просит или разные, но не кто. Что с этим текстом делает Anthropic, определяют её правила.
• Источники курсов валют — сервер раз в сутки запрашивает котировки. В этих запросах нет ничего о людях — только коды валют, одинаковые для всех.

Отдельно стоит совместный счёт: пригласив человека, вы сами открываете ему часть своих записей. Участники видят название и баланс счёта, все операции по нему — их суммы, даты, заметки, категории и то, кто их записал, — а также имя и основной адрес почты друг друга. Ваши остальные счета, операции по ним, заметки и записи о лекарствах остаются закрытыми; в переводе с чужого счёта участник видит только сумму, пришедшую на общий счёт, без названия счёта-источника. Доступ снимается в любой момент — вами, если счёт ваш, или самим участником, если он решил выйти. Записанные им операции при этом остаются на счёте: по ним двигался баланс, и без них он разошёлся бы с настоящим.

Так же устроены совместный проект и задача, которой вы поделились. Участники видят название проекта, все его задачи с подзадачами — названия, описания, сроки, повторы, отметки о выполнении и то, кто отметил, — кому задача поручена, реплики обсуждения с именем автора, а также имя и основной адрес почты друг друга. Ваши метки остаются только вашими, как и всё, что лежит вне общего проекта. Засечённое секундомером время — тоже, пока вы сами не включите его показ в этом проекте: тогда участники видят, сколько вы потратили на его задачи за выбранный период, суммами, без отдельных заходов. У задачи, которой поделились из «Входящих», время не показывается никому, кроме вас. Поручив задачу человеку, вы отправляете ему уведомление, если он их включил; в тексте — ваше имя и название задачи, и то лишь когда он разрешил названия на экране блокировки. Доступ снимается в любой момент — владельцем проекта или хозяином задачи, либо самим участником, если он решил выйти. Заведённые им задачи при этом остаются в проекте: это общая работа.

Так же устроен магазин в разделе маркетплейса, куда вы позвали человека. Участник видит учёт этого магазина целиком: товары с составом и себестоимостью, компоненты, закупки и склад, статьи расходов, налоговый режим, продажи, заказы, возвраты и выплаты площадки, отчёты, фото и файлы инструкций, а также имя и основной адрес почты остальных участников. Ключ кабинета площадки ему не показывается — его не видит никто, включая вас, — а ваши счета, операции и всё остальное за пределами магазина остаются закрытыми; счёт «Себестоимость» участник видит, только если вы поделились с ним этим счётом отдельно. Доступ снимается в любой момент — вами или тем, кому вы дали право звать других, либо самим участником, если он решил выйти. Записанное им при этом остаётся в учёте магазина: учёт у магазина один на всех.

Кроме этого, данные могут быть раскрыты по обязательному требованию закона. Никакой другой передачи третьим лицам не происходит.

Все данные хранятся на одном сервере, размещённом у хостинг-провайдера RuWeb: записи — в одной базе, фото и файлы инструкций — на диске рядом с ней. Проверка правописания на сервере идёт на втором нашем сервере и ничего там не оставляет. Соединение с сервисом шифруется TLS. Пароли хранятся хешами, резервные копии, покидающие сервер, шифруются. Административный доступ к серверу и базе есть у одного человека.

Мы не станем обещать «абсолютную защиту»: сервис ведёт один разработчик, круглосуточной службы безопасности у него нет. Если данные всё же утекут, мы сообщим об этом на вашу почту, как только узнаем сами, и опишем, что именно произошло.

• Записи аккаунта — пока аккаунт существует.
• Приглашение в совместный счёт — месяц или до ответа — что наступит раньше; отменённое исчезает сразу. Запись о доступе живёт, пока участника не убрали и пока он сам не вышел.
• Приглашение в магазин маркетплейса — так же: месяц или до ответа, отменённое исчезает сразу, а запись о доступе живёт, пока участника не убрали и пока он сам не вышел.
• Приглашение в совместный проект или к задаче — так же: месяц или до ответа, отменённое исчезает сразу, а запись о доступе живёт, пока участника не убрали и пока он сам не вышел.
• Реплики в обсуждении задачи — пока их не уберёт автор, пока жива задача и пока существует аккаунт автора — с ним его реплики исчезают сразу.
• Сессии — тридцать дней с последнего продления; после выхода запись удаляется сразу.
• Ссылки подтверждения и смены пароля — один час.
• Записи о лекарствах и отметки о приёме — пока вы их не удалите или пока существует аккаунт. Вместе с аккаунтом они исчезают из базы сразу, в той же транзакции, что и всё остальное.
• Взвешивания, цель и рост — пока вы их не удалите или пока существует аккаунт. Вместе с аккаунтом они исчезают из базы сразу, в той же транзакции, что и всё остальное.
• Шаги и цель по шагам — пока вы их не удалите или пока существует аккаунт. Вместе с аккаунтом они исчезают из базы сразу, в той же транзакции, что и всё остальное.
• Заметки — пока вы их не удалите или пока существует аккаунт. Архив сроком не ограничен: убранная туда заметка хранится, пока вы сами её не удалите. Текст, отправленный на проверку правописания, на сервере проверки не хранится вовсе: он живёт там, пока идёт проверка.
• Задачи и события календаря — пока вы их не удалите или пока существует аккаунт. Выполненная задача остаётся на месте и сроком не ограничена: она и есть история сделанного. Отметки о сделанных вхождениях повторяющейся задачи хранятся так же — пока жива сама задача; снимите отметку или удалите задачу, и они исчезнут из базы сразу. Засечённые заходы живут по тому же правилу: пока жива задача, к которой они относятся. Удалите задачу — и её заходы уйдут вместе с ней.
• Товары, компоненты и инструкции — пока вы их не удалите или пока существует аккаунт. Архив сроком не ограничен: снятый с продажи товар хранится с расчётом, пока вы сами его не удалите.
• Фото и файлы инструкций — пока вы их не удалите, пока жив товар и пока существует аккаунт. Файл удаляется кнопкой в списке под инструкцией. Фото живёт, пока его строка стоит в тексте: убранное из текста или так и не вставленное в него сервер удаляет сам — в течение часа, но не раньше чем через сутки после загрузки, чтобы не отнять снимок у правки, которую ещё не сохранили. Вместе с товаром и аккаунтом уходят все его фото и файлы сразу.
• Обращения по данным — пока существует аккаунт. Вместе с аккаунтом они исчезают из базы сразу, в той же транзакции, что и всё остальное. Пробное обращение или спам владелец может удалить и раньше — вместе с ответом.
• Пожелания помощника — пока существует аккаунт. Вместе с аккаунтом они исчезают из базы сразу, в той же транзакции, что и всё остальное.
• Подписка устройства на уведомления — пока вы не отключите её кнопкой или не запретите уведомления в браузере; неработающую подписку сервер удаляет сам при первой же неудачной отправке.
• Отчёты о сбоях — подробности каждого случая — тридцать дней, описание самой поломки — девяносто. Сервер чистит их сам, по возрасту. Если вы удалите аккаунт, ссылка на вас пропадает из отчёта сразу, в той же транзакции, что и всё остальное, а с ней — подробности случаев: браузер, размер окна и путь по разделам. Описание поломки остаётся, но чьей она была, из него больше не следует.
• Резервные копии — на сервере — по лесенке: семь суточных, четыре недельных, три месячных. За его пределами — девяносто дней. Копия снимается со всей базы целиком, поэтому в неё попадают и записи о лекарствах, и взвешивания с шагами, и заметки, и задачи с событиями календаря, и записи о товарах. После удаления аккаунта ваши данные исчезают из копий не мгновенно, а по мере их устаревания, максимум за три месяца. Фото и файлы инструкций в копии не попадают: они лежат на диске отдельно от базы. Поэтому удалённые исчезают сразу и целиком, но и при потере сервера восстановить их будет не из чего — текст инструкции вернётся из копии, а снимки и файлы придётся загрузить заново.

Исправить и удалить свои записи — счета, операции, категории, подписки, курсы лекарств, отметки о приёме, записи о еде, взвешивания, шаги, цели и рост, заметки, задачи с засечённым по ним временем, события календаря, фото и файлы инструкций — вы можете сами в интерфейсе в любой момент. Там же, в настройках аккаунта, удаляется и весь профиль: мы спрашиваем подтверждение, а дальше записи, настройки и адреса почты исчезают из базы сразу, без ожидания и обращения к нам. Одно исключение названо в самом окне удаления: операции, записанные вами на чужом совместном счёте, остаются у его владельца — по ним двигался его баланс, и стереть их значило бы изменить чужие цифры. Ваше имя от этих записей отвязывается. Так же остаются задачи, заведённые вами в чужих проектах, а ваши совместные проекты и задачи, которыми вы поделились, переходят самому давнему участнику: это общая работа, и она не должна пропасть у других. Ваши реплики в обсуждениях удаляются. Магазины маркетплейса, которые вы завели, исчезают вместе с учётом и у всех, кого вы в них позвали, а записанное вами в чужих магазинах остаётся в учёте их владельцев. Любую заметку можно выгрузить файлом markdown прямо со страницы заметки.

Копию всех своих данных одним файлом вы забираете сами — в настройках аккаунта, в разделе «Ваши данные». В файле всё, что сервис о вас хранит, кроме пароля, ключей и ссылок входа. Фото и файлы инструкций названы в нём списком — имя, размер, товар, — а сами скачиваются с карточки товара: файл на гигабайт в такую копию не поместится. Там же пишется обращение: если что-то не исправляется в интерфейсе, аккаунт не удаляется или хочется спросить, что и зачем хранится. Ответ появится там же; отвечаем и делаем в течение тридцати дней.

Если войти не получается, восстановите вход через «Забыли пароль?» на странице входа — ссылка придёт на любой подтверждённый адрес аккаунта. Без доступа ни к одному из них подтвердить, что аккаунт ваш, нечем: написать из нового аккаунта можно, но выдать или удалить прежний по одной лишь просьбе мы не сможем.

Сервис не предназначен для детей младше шестнадцати лет, и мы сознательно не собираем их данные.

Раздел «Здоровье» — записная книжка и будильник, не более того. Он не ставит диагнозов, не подбирает дозы, не проверяет совместимость препаратов и не советует ничего отменять или начинать. Всё, что в нём написано, вы вписали туда сами. Медицинские решения принимает врач, а напоминание может и не прийти — например, если устройство выключено или браузер отозвал разрешение. Полагаться на него как на единственную страховку не стоит.

То же и с дневником питания: он складывает то, что вы записали, и не назначает норму. Цифры справочника — средние по таблицам состава, а не измерение вашей тарелки; цифры из открытой базы продуктов вносят такие же покупатели, как вы, и ошибиться в них может любой. Сколько вам есть, решаете вы с врачом, а не калькулятор.

Мы пересматриваем этот документ не реже одного раза в год — ближайший срок указан в начале страницы — и, кроме того, всякий раз, когда меняется работа с данными: новый сторонний сервис, новое поле в базе, новая рассылка. Правка сервиса, меняющая обработку данных, не считается законченной, пока политика не обновлена.

При каждом обновлении меняется дата в начале страницы. О существенных изменениях — новый получатель данных, новая цель обработки, увеличенный срок хранения — мы сообщим письмом на почту вашего аккаунта не позднее чем за четырнадцать дней до вступления их в силу, чтобы вы успели забрать данные и уйти, если условия вас не устроят.

Вопросы о данных, исправление, удаление — через обращение в настройках аккаунта, в разделе «Ваши данные». Отдельного почтового ящика у сервиса нет: письмо на адрес домена до нас не дойдёт.