«Семейный штаб» — семейный органайзер: дела и напоминания, лекарства, записи о самочувствии близких, справки, прививки, уход за питомцем. Мы построили его так, чтобы знать о вашей семье как можно меньше. Эта страница честно описывает, что мы собираем, чего не собираем и где именно проходит граница нашей осведомлённости.
Оператор персональных данных — Ненашев Никита Сергеевич, самозанятый (плательщик налога на профессиональный доход), ИНН 272100993370, адрес для корреспонденции г. Хабаровск, ул. Истомина, д. 23, кв. 66, электронная почта nik@nenachief.ru. Далее — «мы».
Обработка ведётся в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Формальный документ оператора — Политика в отношении обработки персональных данных.
Сервис предназначен для лиц от 18 лет. Данные ребёнка вносит родитель или иной законный представитель.
| Что | В каком виде у нас |
|---|---|
| Карточки близких: имя, кем приходится, возраст, дата рождения, пол, аватар | Зашифрованный на вашем устройстве журнал изменений (AES-GCM). Ключ хранится у вас; на сервере лежит шифротекст и «обёртка» ключа, распечатать которую можно лишь вашим паролем. Если вы входите по коду из письма, у нас дополнительно лежит запечатанная нами копия ключа — тогда заголовок этого раздела для вас неточен, и почему, написано в 3.4. |
| Дела, напоминания, правила повторения, списки | |
| Записи о здоровье: температура, принятые лекарства, симптомы, заметки, эпизоды болезни | |
| Показатели: рост, вес, давление, пульс | |
| Экстренная карточка: диагнозы, аллергии, лекарства, контакт | |
| Прививки, осмотры, справки, план ухода за питомцем |
| Что | Зачем | Сколько храним |
|---|---|---|
| Логин и хэш пароля с солью | Вход в аккаунт | Пока существует аккаунт |
| Адрес электронной почты — если вы выбрали вход по коду из письма. Хранится в открытом виде: иначе письмо некуда отправить | Отправить код входа и уведомить вас о выдаче ключа | Пока существует аккаунт или пока вы не смените способ входа |
| Коды входа: необратимый хэш кода, время создания, число попыток, счётчик писем на адрес | Проверить введённый код и не дать перебрать его или завалить чужой ящик письмами | Код — 10 минут, счётчик писем — час |
| Запечатанная копия ключа шифрования семьи — только при входе по коду из письма | Вернуть вам записи, когда телефон потерян, сломан или заменён | Пока существует семья или пока вы не попросите копию изъять |
| Технические записи об устройствах и сессиях: идентификатор устройства, название, даты | Синхронизация между устройствами семьи | Сессия — 30 дней с последнего обращения |
| Текст напоминания, время срабатывания, правило повторения, кому адресовано | Отправить уведомление вовремя, даже если ваш телефон выключен | Пока напоминание существует |
| Идентификатор Telegram — если вы подключили уведомления в Telegram | Доставка уведомлений ботом | Пока подключён |
| Push-адрес устройства (токен Firebase) | Пустой сигнал «проверь обновления» | 90 дней без обращения — удаляем |
| Обращения в поддержку: текст, версия приложения, поверхность, оставленный вами контакт | Ответить вам | До года после закрытия обращения |
| Счётчики обращений к ИИ-функциям: семья, дата, тип функции, количество | Суточные лимиты и учёт подписки | Около 13 месяцев |
| Платежи: идентификатор платежа, сумма, валюта, дата, платёжный сервис | Активировать подписку, не активировать дважды, налоговый учёт | Срок, установленный налоговым законодательством |
| Тексты просроченных дел — снимок, из которого утром собирается сводка «что вчера не сделано» | Одно сообщение вместо десяти отдельных | Пока дело просрочено |
| Имя приглашаемого и название семьи в ссылке-приглашении — в открытом виде | Чтобы человек, открывший ссылку, увидел, куда его зовут, ещё до входа | Пока приглашение не принято или не истекло |
| Объявление семье о новом деле, если вы включили такие уведомления: текст дела, кому адресовано, время | Разослать участникам семьи в Telegram | Не хранится, проходит транзитом |
| IP-адрес при отправке заявки с сайта и обращения в поддержку, метки перехода (UTM) | Защита от спама, разбор обращений, статистика источников | Пока не реализована автоматическая очистка — бессрочно; см. примечание ниже |
| Telegram-идентификатор плательщика — если вы платили счётом внутри Telegram | Сопоставление платежа с семьёй | Вместе со сведениями о платеже |
| Технические журналы сервера: время, адрес запроса, IP-адрес | Стабильность и разбор сбоев | Настраивается на стороне хостинга |
Про сроки, которые мы пока не выдерживаем автоматически. Часть данных (обращения в поддержку, заявки с сайта, истёкшие сессии, журналы) сегодня удаляется вручную по запросу, а не по расписанию. Мы называем это прямо, вместо того чтобы написать красивый срок, которого в коде нет. Автоматическую очистку мы делаем; до тех пор любое ваше требование об удалении исполняется руками и в срок по закону.
Честно про тексты напоминаний. Текст напоминания — единственная ваша запись, которая живёт на сервере не в вашем, а в нашем шифровании: он хранится зашифрованным ключом сервера и расшифровывается в момент отправки, потому что уведомление нужно доставить в назначенный час, даже когда ваш телефон выключен. Это значит, что технически текст напоминания нам доступен. Мы его не читаем, не анализируем и не используем ни для чего, кроме отправки, — но говорим об этом прямо, а не прячем за формулировкой «данные зашифрованы».
Практический вывод: не пишите в тексте напоминания то, что не хотите нам доверить. «Дать Пете сироп» — нормально. Диагноз в тексте напоминания — лишнее; для этого есть записи в карточке, которые мы не видим.
Важная поправка о голосовом вводе. Раньше мы планировали распознавать речь прямо на телефоне и писали об этом. Фактически сейчас работает иначе: распознавание выполняет системный распознаватель речи вашего устройства или браузера — на большинстве телефонов и в Chrome это сервис Google. Значит, аудиозапись покидает устройство и обрабатывается по правилам того сервиса, а не по нашим. Мы не получаем это аудио и не храним его, но и не можем обещать, что его не получает никто.
Если это для вас неприемлемо — вводите текст руками: голос нигде в сервисе не обязателен. Возврат к распознаванию на устройстве остаётся нашей задачей, и мы сообщим, когда он появится.
Это главное изменение сентября 2026 года, и мы называем его прямо. Раньше вход был один: придуманные логин и пароль. Ключ от записей выводился из вашего пароля, и фраза «мы технически не можем это прочитать» была точной. Обратной стороной было то, о чём люди узнавали в худший момент: забытый пароль или потерянный телефон означали потерю всех записей семьи — вернуть их было нечем и некому.
С 16 сентября 2026 года новый штаб заводится только по коду из письма. Прежняя дверь никуда не делась — но она осталась тем, у кого логин и пароль уже есть, и перейти на код они могут только сами, подтвердив это в приложении. Две двери, значит, выглядят так:
Что мы сделали, чтобы копией нельзя было воспользоваться тихо: ключ выдаётся устройству только по одноразовому талону, который выписывается сразу после подтверждения адреса письмом и живёт минуты; каждая выдача попадает в журнал и уходит письмом вам — с датой и устройством. Письмо «ключ семьи выдан новому устройству» и есть та мера, которая отличает эту конструкцию от «ключи лежат у оператора»: незамеченной выдачи не бывает.
Если такой размен вам не подходит — пользуйтесь входом по логину и паролю: в нём ничего не изменилось.
| Цель | Основание |
|---|---|
| Регистрация и вход, работа аккаунта | Исполнение договора — оферты (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Хранение и синхронизация записей семьи между устройствами | Исполнение договора; для данных о здоровье — отдельное согласие (ч. 2 ст. 10 152-ФЗ) |
| Доставка напоминаний и уведомлений | Исполнение договора и согласие |
| ИИ-функции | Отдельное согласие, отзываемое в любой момент |
| Приём оплаты, налоговый учёт | Исполнение договора и требования закона |
| Поддержка пользователей | Исполнение договора и согласие |
| Безопасность, защита от злоупотреблений | Законный интерес оператора |
Мы не принимаем автоматизированных решений, порождающих для вас юридические последствия, и не занимаемся профилированием.
Часть функций работает с помощью языковой модели: голосовой ввод дел, памятка к приёму врача, разгрузка недели. Они выключены по умолчанию и включаются только после отдельного согласия, которое можно отозвать.
| Функция | Что передаётся | Что не передаётся |
|---|---|---|
| Голосовой ввод дел | Распознанный текст, имена и идентификаторы членов семьи (чтобы понять, кому адресовано дело), текущая дата, ваш прошлый список покупок — чтобы дополнить его, а не создать второй | Аудиозапись — её обрабатывает распознаватель речи, а не мы (см. раздел 3.3) |
| Памятка к приёму врача | Имя и возраст близкого, повод и дата визита, специальность врача и выжимка ваших записей о самочувствии и приёме лекарств за выбранный период | Остальные данные семьи, экстренная карточка, записи о других близких |
| Разгрузка недели | Дела на неделю: названия, даты, время, отметки «повторяется» и «сделано», имена и роли участников | Дневник болезни, показатели, экстренная карточка |
Оговорка про разгрузку недели. Названия дел уходят дословно, а дело может называться «таблетка от давления бабушке». Формально это тоже сведения о здоровье. Мы не вырезаем такие строки из списка — это сломало бы саму функцию, — но говорим прямо, чтобы вы решали осознанно.
Сейчас эти функции отключены. Обработку текста выполнял бы иностранный поставщик языковой модели — DeepSeek (Китайская Народная Республика). Закон требует уведомить Роскомнадзор о намерении передавать данные за границу до начала такой передачи, а мы этого ещё не сделали. Поэтому ИИ-функции выключены до тех пор, пока мы либо подадим уведомление, либо переедем на российского поставщика — мы выбираем второе. Ниже описано, что именно передавалось бы, чтобы вы понимали, на что соглашаетесь, когда функции включатся.
Почему это важно знать заранее. Китай не является участником Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных, поэтому такая передача относится к передаче в страну, не обеспечивающую адекватную защиту прав субъектов, и выполняется только на основании вашего отдельного согласия (ст. 12 152-ФЗ). Для памятки к приёму врача это касается и данных о здоровье. Не соглашайтесь, если это для вас неприемлемо: все остальные функции сервиса работают без ИИ, вручную. Мы планируем перевести ИИ-обработку на российского поставщика и сообщим об этом отдельно.
Переданный текст используется только для формирования ответа, поставщику предъявляется требование не сохранять его и не использовать для обучения моделей. Ни результат, ни исходный текст мы у себя не сохраняем: результат возвращается на ваше устройство и попадает в ваш зашифрованный журнал. Мы храним только счётчик обращений (раздел 3.2).
Подробности и форма согласия — Согласие на ИИ-обработку и трансграничную передачу.
| Кому | Что получает | Зачем |
|---|---|---|
| Google (Firebase Cloud Messaging) | Push-адрес устройства и пустой служебный сигнал «проверь обновления» | Мгновенные уведомления на Android. Содержание уведомления собирается на вашем телефоне и через Google не проходит |
| Telegram | Текст уведомления, если вы выбрали доставку уведомлений в Telegram | Доставка уведомлений ботом. Как и любое сообщение бота, оно видно Telegram — это цена удобства, выбор ваш |
| ЮKassa (АО «ЮMoney») | Сумма, назначение платежа, платёжные реквизиты, которые вы вводите на их стороне | Приём оплаты. Данные карты нам не передаются |
| DeepSeek | См. раздел 5 — только при включённых ИИ-функциях | Работа ИИ-функций |
| Telegram — рабочий чат поддержки | Текст вашего обращения в поддержку, оставленный контакт, версия и поверхность приложения | Так устроена наша поддержка: обращение приходит команде в Telegram. Это происходит всегда, а не по вашему выбору |
| Сервис распознавания речи вашего устройства или браузера (на большинстве устройств — Google) | Аудиозапись при использовании голосового ввода | Преобразование речи в текст, см. раздел 3.3 |
| Хостинг-провайдер | Размещение сервера | Работа сервиса. Сервер расположен на территории Российской Федерации |
Просьба про поддержку. Раз обращение уходит в Telegram, не пишите в поддержку диагнозы и другие чувствительные подробности. «Не приходят напоминания у мамы» — достаточно, чтобы мы починили.
Другим лицам данные не передаются. Мы не продаём данные, не передаём их рекламным сетям, брокерам данных, страховым компаниям и работодателям. Передача по требованию государственных органов — только в случаях и порядке, прямо предусмотренных законом.
База данных сервиса размещена на сервере на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Доступ к серверу имеет ограниченный круг лиц на стороне оператора. Записи семьи, кроме перечисленных в разделе 3.2, физически не могут быть прочитаны ни нами, ни хостинг-провайдером.
Значительная часть данных в сервисе — данные других людей: пожилых родителей, детей, супругов. Внося их, вы выступаете в роли лица, действующего с согласия субъекта или в качестве его законного представителя.
Мы обрабатываем данные близких по вашему поручению и в описанном выше объёме; это не снимает с нас обязанностей оператора, но означает, что законность внесения конкретных данных обеспечиваете вы.
По 152-ФЗ вы вправе:
Запрос подаётся через «Нужна помощь?» в настройках приложения, боту @health_fam_bot или на адрес nik@nenachief.ru. Срок ответа — 10 рабочих дней, срок исполнения требования об уничтожении — 30 дней (ст. 21 152-ФЗ). Мы не требуем для этого документов, которых у нас всё равно нет: достаточно запроса из вашего аккаунта.
Что происходит при удалении: с сервера удаляются аккаунт, зашифрованный журнал семьи, напоминания, привязки уведомлений, обращения в поддержку. Сведения о платежах сохраняются в объёме, необходимом для налогового учёта. Данные, сохранённые вами на устройстве, остаются у вас — удалить их можете только вы.
Честно о том, как это работает сегодня. Кнопки «удалить всё» в приложении пока нет — удаление выполняется нами вручную по вашему запросу. Кнопку мы делаем. Отдельная сложность: записи о здоровье лежат внутри общего зашифрованного журнала семьи, разбирать который выборочно мы не можем — при входе по логину и паролю у нас нет ключа вовсе, а при входе по коду из письма есть запечатанная копия, которую мы не распечатываем (3.4). Ни в том, ни в другом случае удалить из журнала только медицинскую часть мы не можем. Поэтому отзыв согласия на данные о здоровье исполняется так: вы удаляете эти записи в приложении, а мы прекращаем их обработку и по вашему требованию удаляем журнал семьи целиком.
Обратная сторона шифрования. Мы не сможем восстановить ваши записи, если вы забыли пароль или потеряли все устройства семьи, — ключа у нас нет. Функции самостоятельной выгрузки копии данных в текущей версии нет, она в разработке. Пока её нет, храните пароль надёжно и не оставайтесь с одним устройством на семью.
Если утечка всё же произойдёт, мы уведомим Роскомнадзор в течение 24 часов с момента обнаружения и сообщим затронутым пользователям в интерфейсе сервиса.
Мы обновим эту страницу, если что-то изменится, и предупредим об этом заранее в интерфейсе сервиса — особенно если изменится состав передаваемых данных или поставщик ИИ-обработки. Дата актуальной редакции — вверху страницы.
Вопросы по этой политике: «Нужна помощь?» в настройках приложения, бот @health_fam_bot, почта nik@nenachief.ru.
«Семейный штаб» — органайзер, а не медицинский сервис. Мы не оказываем медицинских услуг, не ставим диагнозов и не даём медицинских советов. Записи и подсказки в приложении не заменяют консультацию врача. Подробнее — Медицинский дисклеймер.