Aestory app icon
Aestory

Политика конфиденциальности

Дата вступления в силу: 28 октября 2026 г.

1. Общие положения

Настоящая Политика конфиденциальности описывает, как мобильное приложение Aestory и связанные серверные сервисы Aestory обрабатывают персональные данные.

Aestory предназначено для специалистов, которые ведут рабочие записи в Приложении и используют сервисы Aestory для доступа к аккаунту, аутентификации, регистрации установки, проверки подписки и прав доступа, получения каталога/конфигурации и обращения в поддержку.

Сервер Aestory по умолчанию не хранит карты пациентов, заметки пациентов, фотографии, видео, 3D-материалы, материалы "до/после" и локальные резервные копии. Эти рабочие материалы предназначены для хранения в локальном хранилище Приложения на устройстве пользователя, если пользователь сам не экспортирует, не передает, не загружает или не отправляет их в другой сервис или в поддержку.

Если специалист использует Aestory для обработки данных пациентов, такой специалист или организация, от имени которой он действует, отвечает за наличие законного основания для обработки персональных данных пациентов, включая согласия пациентов, профессиональную или медицинскую тайну, ведение записей и иные требования применимого законодательства.

2. Какие данные могут обрабатываться

Сервер Aestory может обрабатывать следующие категории аккаунтных, технических и связанных с доступом данных:

  • данные установки: идентификатор установки, платформа, версия приложения, статус установки, время создания, время последней активности и состояние credential установки;
  • данные аккаунта: внутренний идентификатор аккаунта, статус аккаунта, история связанных установок и временные метки;
  • данные email-аутентификации: адрес электронной почты, статус подтверждения email, записи отправки писем с кодами подтверждения, статус отправки, время отправки и сброса паузы повторной отправки;
  • данные входа через Yandex, если пользователь выбирает такую аутентификацию: идентификатор аккаунта Yandex, идентификатор клиента, отображаемое имя, имя, фамилия и основной email, если Yandex передает эти данные;
  • данные входа через Google или Apple, если способ включён и выбран пользователем: стабильный идентификатор пользователя у провайдера, необязательный email и статус его подтверждения, а также необязательное имя из подписанного токена Google. Поддерживаются relay-адреса Apple Hide My Email. Совпадение email не связывает автоматически аккаунты разных способов входа;
  • временные записи защиты входа через Apple: идентификатор установки, односторонний хеш одноразового nonce и время выдачи, истечения и использования. Nonce действует пять минут; истёкшие записи удаляются при очистке состояния аутентификации;
  • данные сессий и токенов: привязка серверной сессии, claims access token, digest refresh token, срок действия, ротация, отзыв и временные метки замены;
  • данные подписки и прав доступа: уровень доступа, лимиты функций, статус entitlement, срок действия, доступность переноса, история привязки к установкам и claims подписанной lease-лицензии, включая полную дату окончания доступа и идентификатор пользователя авторизации владельца;
  • данные коммерческого каталога, показываемые клиенту: планы, идентификаторы предложений магазинов, цены, валюты и ревизии каталога;
  • административные и audit-данные: данные staff/admin аккаунтов, административные действия, идентификаторы объектов, состояние до/после, причины, metadata, request id и временные метки;
  • журналы запросов сервера: request id, HTTP-метод, найденный route, статус ответа и длительность обработки; при отказе проверки Google/Apple токена также записываются провайдер и техническая категория причины без содержимого токена, значений claims и текста исключений;
  • журналы reverse proxy и инфраструктуры, которые могут включать IP-адрес, URL запроса, user agent, время запроса, статус ответа и похожие технические metadata.

Приложение также может локально обрабатывать рабочие данные специалиста на устройстве пользователя, в зависимости от того, как пользователь использует Приложение: профиль специалиста, карты пациентов, заметки визитов, процедуры, фотографии, видео, 3D-файлы, напоминания, результаты локального анализа, экспорты и резервные копии.

Подписанный снимок доступа содержит дату окончания права, идентификаторы запрашивающего аккаунта и установки, а для Plus аккаунта — идентификатор пользователя авторизации владельца. Эти поля указывают, какому аккаунту предназначен снимок; они не разрешают использовать подписку другого аккаунта. Ранее выданные офлайн снимки могут действовать до подписанного срока окончания.

Действующий Plus принадлежит только аккаунту Aestory — владельцу покупки или подаренного аккаунту периода — и работает на его авторизованных установках для покупок App Store и банка. Другой аккаунт или анонимная сессия на том же устройстве не наследуют этот Plus. Оплаченная или незавершённая покупка другого аккаунта не блокирует отдельную личную покупку. Aestory сохраняет исходную установку и историю подключений для безопасности и коммерческой истории, а не исключительного владения устройством. История и управление платежами доступны соответствующему аккаунту. Ещё не присвоенный административный подарок устройству действует только на исходной установке до привязки авторизованному аккаунту; затем он принадлежит только этому аккаунту.

Aestory не просит пользователей вводить паспортные данные или данные банковских карт в backend Aestory. Платежи, подписки и покупки в магазинах приложений могут обрабатываться соответствующим магазином приложений или платежным провайдером по их правилам.

При оплате через Точка Банк сервер хранит выбранный тариф, сумму и версию цены, email для чека, выбор автоплатежа и время согласия, банковские идентификаторы, статусы списаний и оплаченные сроки доступа. Email, сумма, назначение платежа и служебные идентификаторы покупки передаются Точке и подключённому сервису кассы для оплаты и формирования чеков. Реквизиты и токены банковских карт сервер Aestory не хранит. Автоплатёж включается отдельным выбором пользователя; его отключение сохраняет уже оплаченный доступ. Для удаления аккаунта сначала нужно завершить незавершённые покупки и отключить автоплатёж. Платёжные записи и email чеков могут сохраняться после удаления аккаунта для учёта, обработки обращений и исполнения обязательств.

Незавершённую разовую покупку можно отменить после проверки её банковского статуса сервером. Сервер сохраняет время отмены и событие аудита, оставляет покупку, банковские идентификаторы и ссылку оплаты для сверки и разрешает новую покупку. Отмена действует на стороне приложения: ранее сохранённая внешняя банковская ссылка может оставаться доступной для оплаты. Позднее подтверждённый платёж всё равно учитывается и предоставляет оплаченный срок доступа. Отмена покупки не оформляет возврат денег.

Для регионального прайса подписки Приложение читает страну подключенного storefront App Store или Google Play и передает нормализованный код страны и канал покупки на backend Aestory для выбора предложений. Рядом с ценой могут отображаться опубликованные продавцом реквизиты и другие сведения о продавце. Этот необязательный текст хранится в настройках ценового региона и переводах; изменения фиксируются в административном аудите. Для ценового региона отдельно настраивается платёжный шлюз: Точка для России или соответствующий магазин приложений для других стран. Российское предложение требует явной цены RU; при её отсутствии цена Default не подставляется. Покупки через магазины недоступны до подключения их платёжной интеграции. SDK магазина может обращаться к соответствующему магазину за ценами продуктов и сроками подписки. Backend сохраняет страну запроса оплаты через Точку вместе с коммерческой записью покупки по тем же правилам хранения. Геолокация устройства для этого не используется, данные пациентов не передаются. Чтение данных магазина само по себе не создает покупку и не включает автоматические списания.

3. Цели обработки данных

Aestory обрабатывает данные для предоставления и защиты Приложения и серверных сервисов:

  • регистрация и распознавание установки Приложения;
  • создание аккаунтов и аутентификация пользователей по email, через Yandex, Google или Apple;
  • отправка кодов подтверждения email и сервисных писем;
  • выдача, обновление, ротация и отзыв access-сессий и токенов;
  • привязка аккаунтов к установкам и защита доступа к аккаунту;
  • проверка статуса подписки, выдача подписанных lease-лицензий и поддержка доступа аккаунта на нескольких устройствах;
  • предоставление данных каталога, цен, функций и конфигурации;
  • работа административного интерфейса и запись audit-событий;
  • мониторинг работоспособности сервиса, диагностика ошибок, предотвращение злоупотреблений и защита сервиса;
  • ответы на обращения в поддержку и юридические запросы.

Aestory не использует данные аккаунта, установки, пациентов или прав доступа для рекламы, продажи третьим лицам, стороннего рекламного таргетинга или отслеживания пользователя в других приложениях и на сайтах.

5. Локальное хранение и передача данных

Карты пациентов, фотографии, видео, заметки, 3D-материалы, напоминания и резервные копии предназначены для локального хранения в хранилище и файловой области Приложения на устройстве пользователя.

Backend Aestory хранит данные аккаунта, установки, аутентификации, сессий, прав доступа, каталога, audit-событий и сервисных журналов, необходимые для работы сервиса. Backend не получает локальные рабочие материалы пациентов автоматически.

Создание, импорт, просмотр 3D, загрузки, повторы и автоматическое скачивание результатов удалены из текущего Приложения. Ранее сохранённые 3D-файлы остаются на устройстве и совместимы с резервными копиями. Автоматическая отмена системных передач, оставшихся от старых версий, в текущем Приложении отключена. Backend больше не предоставляет API заданий обработки и выдачи ссылок хранилища.

Прежние версии могли загружать выбранные пользователем фотографии или видео напрямую в закрытое S3-совместимое хранилище для создания 3D-изображений отдельным компонентом обработки. Ранее выданные ссылки могут действовать до истечения срока. После миграции удаления воркеры не получают новые задания. Уже выданные попытки могут завершиться или остановиться. Исходные материалы и результаты PLY или GLB остаются закрытыми; админская отмена и автоматическая очистка продолжают работать.

Данные могут покинуть устройство пользователя, когда пользователь выполняет действие, например:

  • регистрирует установку или входит в аккаунт;
  • использует подтверждение email или вход через Yandex, Google или Apple;
  • проверяет статус подписки или запрашивает lease-лицензию;
  • импортирует, экспортирует, передает или сохраняет файлы через инструменты операционной системы;
  • создает резервную копию и передает ее через системное меню "Поделиться";
  • отправляет файл, снимок экрана, резервную копию, журнал или описание проблемы в поддержку.

Если пользователь передает данные через стороннее приложение, облачное хранилище, мессенджер, email, сервис операционной системы или магазин приложений, такая передача регулируется условиями и политиками конфиденциальности выбранного сервиса.

6. Разрешения устройства

Приложение запрашивает разрешения только тогда, когда они нужны для конкретных функций:

  • камера: для фото- и видеосъемки;
  • микрофон: для записи видео со звуком или диктовки заметок, если пользователь использует такую функцию;
  • распознавание речи: для преобразования речи в текст заметки, если пользователь использует такую функцию;
  • медиатека/файлы: для добавления материалов в записи и сохранения выбранных материалов;
  • уведомления: для локальных напоминаний;
  • автозапуск после перезагрузки на Android: для восстановления запланированных локальных уведомлений;
  • доступ к интернету: для связи с backend-сервисами Aestory и внешними сервисами, используемыми для аутентификации, email, подписок, обновлений или поддержки.

Пользователь может отозвать разрешения в настройках устройства. После отзыва отдельные функции могут стать недоступны или работать ограниченно.

7. Резервные копии, экспорты и материалы поддержки

Пользователь может создавать локальные резервные копии или экспорты. Резервная копия или экспорт могут включать профили специалистов, карты пациентов, заметки, медиафайлы и другие локальные рабочие материалы.

Пользователь самостоятельно выбирает, где хранить резервные копии и экспортированные файлы и кому их передавать. Aestory не получает такие файлы автоматически и не контролирует копии, сохраненные вне Приложения.

Если пользователь отправляет резервную копию, экспорт, снимок экрана, журнал или другой файл в поддержку, Aestory может обработать переданный материал для диагностики проблемы, ответа на обращение и защиты сервиса. Не отправляйте данные пациентов в поддержку, если для этого нет законного основания и такие данные не нужны для обращения.

8. Безопасность

Aestory использует технические и организационные меры защиты, соответствующие текущей архитектуре сервиса. Credentials установок и refresh tokens хранятся на backend в виде криптографических digest-значений, а не как открытые токены. Lease-лицензии подписываются серверными ключами. Production-трафик обслуживается через HTTPS.

Серверная аутентификация включает access tokens, ротацию refresh tokens, проверку credentials установки, привязку сессии, rate limits для чувствительных маршрутов аутентификации и механизмы отзыва аккаунтов/сессий.

Локальные меры защиты Приложения, например PIN-код рабочего пространства или защищенная резервная копия, не заменяют системную защиту устройства. Пользователь отвечает за безопасность телефона или планшета: пароль устройства, биометрию, блокировку экрана, обновления ОС, защиту резервных копий и контроль доступа к устройству.

Проверка подписок App Store

Когда покупки App Store включены в совместимой версии приложения, оплату обрабатывает Apple. Aestory создаёт случайный идентификатор связи (appAccountToken) для авторизованного аккаунта и среды покупок и передаёт его Apple при покупке. При включённой поддержке TestFlight сервер может разрешить тот же выданный им идентификатор в Sandbox и Production только для того же аккаунта. Тестовая и реальная история сохраняют отдельную среду; покупки Sandbox дают временный тестовый доступ и не являются реальной оплатой. Он независим от входа через Apple и не содержит email, данных пациентов или credential установки. Backend хранит намерения покупки, их установку, продукт и время, а также счётчики запросов аккаунта и установки для защиты от злоупотреблений. Старые интервалы счётчиков удаляются сверкой подписок через сутки.

Для проверки и восстановления приложение передаёт backend идентификатор транзакции. Backend обращается к App Store Server API и проверяет подписанные записи Apple и статус сертификатов через OCSP. Коммерческие записи включают идентификаторы транзакции и originalTransactionId, продукт и группу подписок, среду, связь с аккаунтом, даты покупки, окончания, льготного периода и отзыва, состояние продления и списаний, а также цену Apple в тысячных долях денежной единицы и валюту, если они переданы. Эти записи связывают покупку с источниками доступа и позволяют сохранить иной действующий доступ при возврате одной покупки.

Apple может присылать подписанные уведомления о подписке. Aestory сохраняет notificationUUID, тип, среду, ссылки на транзакции, время подписи и получения, односторонний digest payload и результаты обработки или повторов. Исходные подписанные payload покупок и уведомлений и приватные ключи подписи не сохраняются в БД или прикладных журналах. Запросы к Apple и сервисам статуса сертификатов содержат технические сведения о покупке или сертификате, без данных пациентов из локального рабочего пространства. Apple обрабатывает свои данные по собственной политике конфиденциальности.

Удаление аккаунта Aestory или приложения не отменяет списания Apple. Отмена выполняется отдельно в настройках подписок Apple. При известной истории покупок или незавершённой native покупке удаление аккаунта требует подтверждения этого предупреждения, без обязательной отмены или ожидания. Коммерческие записи покупок, уведомлений, связи аккаунта и истории доступа могут сохраняться для учёта, безопасности, сверки, споров и исполнения закона в рамках целей хранения ниже. Последующие события Apple не восстанавливают удалённый аккаунт или его доступ, в том числе при создании нового аккаунта с прежними данными входа.

9. Сроки хранения и удаление

Локальные рабочие данные хранятся на устройстве пользователя до тех пор, пока пользователь не удалит их в Приложении, не удалит Приложение, не очистит данные Приложения средствами операционной системы или не удалит внешние сохраненные копии.

Backend-данные аккаунта, установки, аутентификации, прав доступа, audit-событий и журналов хранятся столько, сколько необходимо для предоставления сервиса, защиты аккаунтов, ведения записей о подписке и доступе, исполнения юридических обязанностей, разрешения споров и обеспечения договоренностей.

Для ранее принятых заданий исходные фотографии или видео удаляются сразу после завершения обработки или иного перехода в конечный статус. Успешный результат PLY или GLB хранится не более двух часов по прежней политике хранения. Физическое удаление может занять больше времени при повторе очистки после временной ошибки хранилища. Технические данные заданий и записи очереди сохраняются для аудита и возможного восстановления; удаление функции не стирает эти записи. Локальные файлы пациентов и резервные копии не затрагиваются.

Когда пользователь удаляет аккаунт из аутентифицированной сессии приложения, Aestory закрывает backend-аккаунт, отзывает его активные сессии и refresh tokens, удаляет или обезличивает email-, Yandex-, Google- и Apple-идентификаторы входа, сохранённые Aestory, и отзывает активные права доступа account. Для удаления Apple-аккаунта запрашивается новая авторизация Apple, чтобы отозвать доступ приложения у Apple перед завершением локального удаления. Если такая авторизация недоступна, пользователь может обратиться в поддержку для удаления данных. Ограниченные записи установок, сессий, прав доступа, audit-событий и журналов могут сохраняться без прямых идентификаторов входа, если это необходимо для безопасности, учёта, разрешения споров, исполнения закона или подтверждения обработки удаления.

Access tokens и refresh tokens имеют ограниченный срок действия. Записи refresh tokens могут храниться как digest-значения с временными метками ротации, истечения срока и отзыва для безопасности и защиты от replay-атак. Audit- и инфраструктурные журналы могут храниться для безопасности, диагностики и подотчетности.

Резервные копии, экспортированные файлы и материалы, переданные через другие приложения, хранятся там, куда пользователь их сохранил или отправил. Такие копии нужно удалять отдельно.

10. Права пользователей и субъектов данных

Пользователь может просматривать, изменять, экспортировать и удалять локальные рабочие данные средствами Приложения и операционной системы, если соответствующая функция доступна.

Если версия приложения поддерживает удаление аккаунта, пользователь может удалить backend-аккаунт из аутентифицированного раздела аккаунта или настроек. После удаления прежние токены аккаунта перестают работать. Тот же email для входа с паролем или тот же идентификатор Google, Apple или Яндекс можно использовать для создания нового аккаунта без периода ожидания после удаления. Удалённый аккаунт, его сессии и права доступа не восстанавливаются. Успешное удаление email-аккаунта сбрасывает короткую паузу повторной отправки письма для его email; записи отправок и суточные лимиты сохраняются, а новая отправка снова запускает паузу. В прежних записях отправок фиксируется время сброса. Удаление аккаунта провайдера не сбрасывает паузу отдельного email-аккаунта. Остальные ограничения частоты авторизации сохраняются. Backend больше не создаёт и не проверяет резервы идентификаторов удалённых аккаунтов; ранее сохранённые отпечатки резервов удаляются при применении этого изменения.

По backend-данным аккаунта, аутентификации, установки, подписки или поддержки пользователь может обратиться в Aestory для запроса доступа, исправления, удаления, ограничения обработки или иных действий, доступных по применимому законодательству.

Если вы являетесь пациентом и ваши данные внесены специалистом в Aestory, обратитесь к этому специалисту или организации, которая оказывает вам услуги. Именно они определяют цели и основания обработки данных пациента.

По вопросам, связанным с Приложением, backend-сервисами или этой Политикой, можно обратиться по адресу: privacy@aestory.space.

11. Дети

Aestory не предназначено для самостоятельного использования детьми и не направлено на детей как аудиторию. Если в Приложение вносятся данные несовершеннолетних пациентов, пользователь обязан обеспечить наличие законного основания и необходимых согласий представителей ребенка в соответствии с применимым законодательством.

12. Третьи лица и обработчики

Aestory может использовать сторонние сервисы и инфраструктурных провайдеров для работы Приложения и backend-сервисов. Это включает Yandex OAuth для входа через Yandex, Google Sign-In и Sign in with Apple, если они включены и выбраны пользователем, а также Yandex Postbox для отправки писем подтверждения email и сервисных писем.

Backend и его база PostgreSQL размещены на виртуальных серверах Timeweb Cloud. Инфраструктура хостинга обрабатывает описанные в этой Политике технические данные, данные аккаунтов, подписок и безопасности. Карточки пациентов, медицинские заметки, фотографии и видео остаются в локальном рабочем пространстве пользователя и не передаются на эти backend-серверы.

При входе через Google или Apple Приложение передаёт identity token выбранного провайдера в backend Aestory по зашифрованному соединению. Backend получает публичные ключи провайдера для проверки подписи. При удалении Apple-аккаунта backend также обменивает свежий authorization code у Apple и передаёт полученный token сервису отзыва Apple. Identity tokens, authorization codes и access/refresh tokens провайдеров обрабатываются временно, не сохраняются в базе backend и не включаются в прикладные журналы. Запросы к провайдерам не содержат данных пациентов из локального рабочего пространства. Google и Apple самостоятельно обрабатывают данные входа по своим политикам конфиденциальности.

Приложение также использует платформенные возможности iOS и Android и технические библиотеки, необходимые для работы функций: камеры, медиатеки, локальных уведомлений, воспроизведения видео, работы с файлами, распознавания речи, локального анализа изображений, сетевого взаимодействия и резервного копирования.

Магазины приложений, платежные провайдеры, облачные хранилища, мессенджеры, email-сервисы, операционные системы и другие сторонние сервисы, выбранные пользователем, могут самостоятельно обрабатывать данные по своим условиям и политикам конфиденциальности.

В текущей версии Aestory не использует рекламные SDK, SDK аналитики или сторонние SDK для отслеживания пользователей.

13. Трансграничная передача

Backend-сервисы Aestory, инфраструктурные провайдеры, email-провайдеры, провайдеры аутентификации, магазины приложений и инструменты поддержки могут обрабатывать данные в юрисдикциях, отличных от местонахождения пользователя.

Рабочие материалы пациентов не загружаются в backend Aestory автоматически. Трансграничная передача таких материалов может произойти, если пользователь сам отправляет, экспортирует, резервирует или передает их через сторонние сервисы, облачные хранилища, мессенджеры, email, каналы поддержки или другие приложения.

14. Изменения Политики

Политика может обновляться при изменении функций Приложения, поведения backend, способов обработки данных, сторонних провайдеров или требований законодательства. Английская версия публикуется по адресам https://dev.aestory.space/privacy-policy и https://dev.aestory.space/privacy-policy/en. Русская версия публикуется по адресу https://dev.aestory.space/privacy-policy/ru.

Если изменения существенно влияют на обработку данных, пользователь будет уведомлен разумным способом, например через обновление страницы политики, описание обновления или сообщение внутри Приложения, если такая функция доступна.

15. Контакты

Оператор/разработчик: Фикс Илья Иосифович

Email: privacy@aestory.space