Политика конфиденциальности

Кто обрабатывает данные

Medaro — медицинский справочник Армении: каталог врачей, клиник, аптек и лабораторий, отзывы пациентов и навигатор по обязательному медицинскому страхованию. Портал не оказывает медицинских услуг, не ведёт запись на приём и не хранит медицинских карт.

Оператор персональных данных — "КВЕРТИ" ООО (Республика Армения), регистрационный номер 282.110.1073657, ИНН 00922045. Почтовый адрес для юридически значимых обращений: Республика Армения, Ереван, улица Пароняна, 44. Обращения по персональным данным принимаем письмом на info@medaro.am — этот же адрес указан в подвале сайта.

На каком основании мы обрабатываем данные

Для зарегистрированных пользователей основание — согласие. При регистрации вы отмечаете две галочки: согласие на обработку персональных данных (этот документ, версия v5) и согласие на публикацию отзыва по правилам портала. Врач, подающий заявку на верификацию, отмечает третье согласие — на обработку документов об образовании и лицензии.

Каждое согласие мы записываем отдельной строкой в журнал: кто, на какой документ, какой версии и в какую минуту согласился. IP-адрес в этот журнал мы не пишем, хотя место для него в базе есть.

Посетитель без аккаунта ничего не отмечает: журнал обращений к серверу, обезличенная статистика поиска, счётчик Google Analytics и карты работают у всех. Что каждый из них собирает, зачем и сколько хранит, написано в разделах ниже. Уведомления о новых статьях устроены иначе: они работают, только если вы включили их сами — нажали кнопку на сайте и затем разрешили уведомления в окне браузера. Эти два действия и есть ваше согласие; выключить уведомления можно в любой момент одним нажатием (раздел «Уведомления о новых статьях»). Сообщение «Заметили ошибку?» вы тоже отправляете сами: в форме нужно указать адрес электронной почты — на него, как правило, придёт подтверждение, что сообщение получено, а после проверки — её итог. Отправляя форму, вы соглашаетесь, что мы используем адрес для писем по этому сообщению и, если понадобится, чтобы задать вам вопрос по нему; без адреса форму не отправить, но написать нам можно и обычным письмом на info@medaro.am.

Если документ меняется по существу, мы поднимаем номер версии, публикуем новый текст на этой же странице и перечисляем, что изменилось. Зарегистрированным пользователям, которые вошли в аккаунт, сайт показывает уведомление об обновлении со ссылкой на новый текст. Согласие заново мы не собираем: в журнале остаётся отметка той версии, с которой вы соглашались. Если вы с новой версией не согласны, напишите на info@medaro.am, и мы удалим аккаунт; что при этом происходит с отзывами, сказано в разделе «Ваши права».

Какие данные мы храним

Список закрытый: ничего, кроме перечисленного, портал о вас не хранит.

• Аккаунт: адрес электронной почты, отображаемое имя, язык интерфейса и роль (пациент, врач, администратор). Пароль хранится только в виде необратимого хэша в сервисе аутентификации — мы его не видим. Поле телефона в базе есть, но при регистрации мы его не спрашиваем и не заполняем.
• Сессии входа: время входа, IP-адрес и строка браузера каждой активной сессии. Служба входа хранит их, чтобы защищать аккаунт; запись удаляется при выходе из аккаунта. Ещё служба входа ведёт журнал событий (вход, выход, смена пароля): время и аккаунт, без IP-адреса.
• Отзывы: текст, общая оценка и оценки по трём признакам, язык, дата визита, врач или организация, о которых отзыв, подпись («Имя И.» или выбранный псевдоним), даты создания и публикации. Ваше настоящее имя рядом с отзывом не показывается, а внутренняя связь отзыва с аккаунтом закрыта на уровне базы для всех, кроме вас и модератора.
• Подтверждение визита: дата визита, способ подтверждения и — если вы подтверждаете чеком — сам файл чека в приватном хранилище. Файл нужен только для проверки и по регламенту удаляется после неё.
• Карточки врачей. Большинство карточек мы составили по открытым источникам — сайтам клиник, где врач работает: имя, специальность, должность, место приёма, пол, фотография. Под каждой фотографией указаны клиника, ссылка на страницу, откуда она взята, и дата. Врач может в любой момент попросить исправить сведения или убрать фотографию: кнопкой «Заметили ошибку?» на своей странице (вид обращения «Убрать или заменить фотографию») или письмом на info@medaro.am. Каждую просьбу рассматривает модератор. Чтобы убедиться, что пишет сам врач или его клиника, мы можем попросить подтверждение — например, письмо с официальной почты клиники. Если фотографию решено убрать, со страницы и из хранилища мы снимаем её сразу, а из кеша сети Cloudflare и из резервной копии сайта — в тот же день. Врач, подтвердивший профиль, дальше заполняет его сам: образование, стаж, языки, описание, цену приёма.
• Документы верификации врача (диплом, сертификат, лицензия): лежат в приватном хранилище и доступны только самому врачу и администратору портала. Пациентам они не показываются никогда.
• Ответы врачей на отзывы и жалобы на отзывы — вместе с причиной обращения и его статусом.
• Сообщения «Заметили ошибку?»: текст, время отправки, страница, к которой он относится (её адрес и название), вид обращения, язык страницы и адрес электронной почты, который вы указали, — без него форма не отправляется; телефон мы больше не принимаем. Ещё храним решение модератора и отметки о письмах на этот адрес: когда ушло письмо «получили» и письмо с итогом проверки, а если письмо не ушло или вернулось — почему (например, «у домена нет почты» или «адрес не существует»); если адрес удалён — когда и по какой причине. Адрес видят модераторы в админке сайта и наша программа, которая отправляет письма; на сайте он не публикуется и в рассылки не попадает. Нужны эти данные, чтобы исправить сведения или рассмотреть просьбу о фотографии; адрес — для писем по этому сообщению (подтверждение получения и итог проверки) и, если понадобится, чтобы задать вам вопрос по нему. Чтобы форму нельзя было превратить в рассылку, письма уходят с ограничениями, в том числе: на один адрес — не больше одного письма «получили» в сутки, всего — не больше 20 писем в час и 100 в сутки; на адрес, письма на который за последние 90 дней вернулись или были отклонены, мы не пишем. Сообщение при этом всё равно доходит до модератора. Если страница к моменту отправки скрыта с сайта, писем не будет вовсе. Письма с итогом может не быть, если первое письмо не дошло или адрес оказался недействительным, если сообщение не о сведениях на странице или если лимит писем исчерпан; на просьбу о фотографии мы отвечаем отдельным письмом из ящика info@medaro.am.
• Служебные журналы: журнал согласий и журнал действий модераторов и администраторов (кто и что изменил). Он нужен, чтобы решения по отзывам и верификации можно было проверить.
• Журнал обращений к серверу: время, IP-адрес и страна, браузер и тип устройства, полный адрес открытой страницы, код ответа; для загрузок файлов — ещё аккаунт и файл. Зачем он и кто его видит — в разделе «Журнал обращений к серверу».
• Статистика поиска по сайту — обезличенно: текст запроса, раздел, язык, день, сколько раз искали и сколько нашлось; в самой таблице нет ничего, что связывало бы запрос с вами. Подробно — в разделе о статистике.
• Письма клиникам: адрес, на который мы написали, организация, дата отправки и отметки о том, что письмо открыли и по каким ссылкам в нём нажали. Это данные деловой переписки с организацией, а не с пациентом.
• Письма, которые вы присылаете на info@medaro.am, — в нашем почтовом ящике (о почте — в разделе «Кому мы передаём данные»); там же — копии наших писем о сообщениях «Заметили ошибку?» и уведомления о недоставке.
• Подписка на уведомления о новых статьях — только если вы их включили: адрес доставки, который выдал ваш браузер, два ключа шифрования к нему, язык уведомлений, тема, служба доставки, версия этого документа, дата подписки и даты последних попыток доставки. IP-адреса, сведений об устройстве и связи с аккаунтом в подписке нет. Подробно — в разделе «Уведомления о новых статьях».
• Резервные копии. Чтобы не потерять данные при сбое, каждую ночь мы копируем базу и хранилище файлов; в копиях есть всё перечисленное выше. Копии лежат на нашем сервере, на рабочем компьютере администратора портала и в зашифрованном виде в облаке Google Drive — ключ шифрования есть только у нас, Google содержимого не видит. Ежедневные копии храним 30 дней, копии на первое число месяца — до 3 месяцев. Дольше 3 месяцев резервные копии не хранятся, поэтому удалённые данные окончательно исчезают из них не позже чем через 3 месяца.
• Камера, местоположение и уведомления включаются только с вашего разрешения: камера — для сканера QR-кода визита в форме отзыва, местоположение — для кнопки «Рядом со мной» на карте, уведомления — о новых статьях блога. Изображение с камеры и ваши координаты на наш сервер не отправляются; уходит только прочитанный код визита.

Какие куки мы ставим

Рекламных сетей и следящих пикселей на страницах портала нет — пиксель есть только в письмах клиникам, о них ниже. Внешний счётчик посещаемости ровно один — Google Analytics; своя, внутренняя статистика у портала тоже есть, ей посвящён раздел ниже. Поэтому куки двух сортов — четыре наши технические и две счётчика.

• sb-medaro-auth — сессия входа: появляется после входа в аккаунт и удаляется при выходе; если не выходить, браузер хранит её до 400 дней. Без неё войти нельзя. Если данных в ней много, браузер делит её на части (sb-medaro-auth.0, sb-medaro-auth.1) — это одна и та же кука.
• sb-medaro-auth-code-verifier — одноразовая служебная кука на время подтверждения почты и восстановления пароля; после входа она не нужна.
• NEXT_LOCALE — выбранный язык интерфейса: ставится, только когда вы переключаете язык или открываете адрес medaro.am без языка, и живёт до закрытия браузера.
• medaro_vid — случайный идентификатор без всякого содержания. Ставится, только когда вы открываете страницу врача, подтвердившего свой профиль на портале, живёт 48 часов и нужен ровно для одного: чтобы один и тот же посетитель не был посчитан дважды за сутки.
• _ga — кука счётчика Google Analytics: случайный номер браузера, по которому счётчик отличает новый визит от повторного. Ни имени, ни почты, ни содержимого профиля в ней нет. Живёт до двух лет; браузер может сократить срок (Chrome — до 400 дней, Safari — до 7 дней).
• _ga_JQZD411NCY — вторая кука того же счётчика: в ней состояние текущего визита — когда он начался и сколько страниц открыто. Живёт до двух лет; браузер может сократить срок так же.
• Если в браузере включён сигнал «Не отслеживать» (DNT) или Global Privacy Control, наша статистика страниц врачей вас не считает и куку medaro_vid не ставит, а поиск по сайту не попадает в статистику поиска. Google Analytics этот сигнал не учитывает — отключить его можно расширением Google или блокировщиком (см. раздел «Кому мы передаём данные»).

Ещё несколько мелочей для полноты — это не куки, а пометки и разрешения, которые браузер хранит у себя. Пока запись о согласии не создана в базе, браузер держит локальную пометку «галочки отмечены»; она исчезает, как только согласие записано. Если вы закрыли уведомление об обновлении политики, браузер помнит это такой же локальной пометкой, чтобы не показывать его снова; на другом устройстве или после очистки браузера уведомление покажется ещё раз. Если вы включили уведомления о новых статьях, браузер хранит ваше разрешение для medaro.am; маленький служебный скрипт, который показывает пришедшее уведомление и по нажатию открывает статью (страниц и данных он не сохраняет и снимается, когда вы выключаете уведомления на сайте); и пометку с коротким отпечатком адреса доставки — не самим адресом, — языком уведомлений и версией этого документа: по ней сайт понимает, что подписка не изменилась, и не обращается к серверу на каждом заходе. Если вы нажали «Не сейчас» под предложением включить уведомления, браузер запоминает дату нажатия, и 90 дней мы их не предлагаем. У администраторов портала, отметивших своё устройство для проверочных уведомлений из админки, браузер хранит ещё одну пометку — тот же короткий отпечаток адреса доставки, чтобы окно колокольчика показывало эту отметку. Эти пометки на сервер не уходят.

Своя статистика: страницы врачей, поиск по сайту и письма клиникам

Портал считает, сколько раз за день открывали страницу врача, подтвердившего свой профиль, и сколько раз нажимали на ней кнопку «Позвонить». Врач видит эти два числа в своём кабинете — по ним он понимает отдачу от профиля.

В базе хранится только дневной итог: врач, дата, вид события и число. Ни IP-адрес, ни user-agent, ни адрес страницы, ни точное время события не сохраняются, поэтому восстановить по этой таблице отдельного человека нельзя.

Идентификатор из куки medaro_vid в базу не попадает: перед записью он превращается в необратимый хэш вместе с серверным секретом. Таблица, по которой мы понимаем, что этого посетителя сегодня уже посчитали, очищается автоматически через двое суток.

Со статистикой не связан ни ваш аккаунт, ни ваш профиль: в дневном итоге нет ни идентификатора пользователя, ни идентификатора посетителя.

Оговорим честно: в момент запроса наш сервер видит и техническую куку, и — если вы вошли — вашу сессию, они приходят вместе в одном обращении к серверу. В хранении они не связаны, но утверждать, что такая связка технически невозможна, было бы неправдой.

С версии v3 портал считает и то, что ищут на сайте, — чтобы понимать, каких врачей, клиник, анализов и услуг не хватает в каталоге. Учитывается поиск врачей, клиник, лабораторий и болезней, поиск на карте, а на страницах организаций — поиск в прайсе и в услугах по гос. страховке. Раньше текст, который вы вписывали в поиск по клиникам, анализам, болезням, карте или прайсу, не покидал ваш браузер; теперь, когда вы перестали печатать или уходите со страницы, на наш сервер уходит итог поиска: сам запрос, раздел сайта, язык страницы и число найденных результатов. Промежуточные варианты по ходу набора не отправляются. В Google текст запроса не уходит: из адресов страниц, которые видит счётчик Google Analytics, он вырезается, а функция «Поиск по сайту» в счётчике выключена.

Хранится только итог за день: запрос, раздел, язык, дата, сколько раз его искали, сколько раз поиск ничего не нашёл и сколько нашлось в последний раз. Запрос приводится к простому виду (строчные буквы, без лишних пробелов и знаков препинания) и обрезается до 64 знаков. Запросы, похожие на адрес почты, адрес сайта, номер телефона или документа (пять и больше цифр подряд или шесть и больше цифр всего), отбрасываются целиком — ещё в браузере и повторно на сервере. При включённом сигнале «Не отслеживать» или Global Privacy Control запрос в статистику не попадает. В таблицу статистики IP-адрес не записывается: сервер держит его только в памяти — чтобы один человек не засчитывался много раз за сутки и чтобы защититься от накрутки; повтор того же запроса с одного IP-адреса в течение суток считается один раз. Ни куки, ни устройства, ни аккаунта, ни точного времени в этой таблице тоже нет, так что по одной этой таблице узнать, кто что искал, нельзя. Но сам факт отправки итога поиска, как и любое обращение к сайту, попадает в журнал обращений к серверу — с IP-адресом и временем, без текста запроса. А поиск врачей меняет адрес страницы, и такой адрес журнал записывает целиком, вместе с текстом поиска (раздел «Журнал обращений к серверу»). Итоги видят только администраторы портала.

Оговорим честно и здесь: если вписать в поиск чьё-то имя, оно сохранится как текст запроса — без связи с тем, кто искал, но сохранится. Если такой запрос нужно убрать, напишите на info@medaro.am — мы удалим его из статистики, а из резервных копий он уйдёт не позже чем через 3 месяца. Чтобы он больше не учитывался, сам текст запроса остаётся только в закрытом списке исключений — без счётчиков и дат поиска; этот список видят только администраторы.

Отдельная история — письма клиникам. Мы пишем руководству клиник, аптек и лабораторий на адреса, которые они сами опубликовали на своих сайтах: рассказываем о портале и даём ссылку на страницу организации в каталоге. Это деловая переписка с организацией; адреса пациентов для таких писем мы не используем никогда.

По такому письму мы видим две вещи: что его открыли — по прозрачной картинке размером в один пиксель, которую почтовая программа подгружает с нашего сервера, — и по каким ссылкам в нём нажали: «Открыть страницу клиники», ролик о портале или просто адрес сайта. Ссылки идут через наш домен, и то, куда каждая ведёт, задано у нас на сервере коротким словом: подставить в такую ссылку чужой сайт нельзя. Считаем мы это ровно для одного — понять, полезна ли рассылка и стоит ли писать дальше.

Сохраняем при этом: адрес, на который ушло письмо, организацию, дату отправки, отметки об открытиях и нажатиях и строку, которой представляется почтовая программа или браузер. Последняя нужна, чтобы отличить живое открытие от предзагрузки почтовым сервисом. В таблицах рассылки IP-адрес не сохраняем: нам важен отклик, а не то, откуда вы вышли в сеть. Загрузка картинок письма и переход по его ссылкам — обычные обращения к нашему серверу: в журнал обращений они попадают с полным IP-адресом и полным адресом ссылки, включая код письма, то есть по журналу видно, какой организации было письмо. Отметки об открытиях и нажатиях храним 6 месяцев, запись о самом письме — 12 месяцев со дня отправки.

Отказаться просто: ответьте одним словом — «нет», «стоп», «unsubscribe», годится любое — и мы вычеркнем адрес, второго письма не будет. Причину объяснять не нужно. Тот же ответ можно прислать на info@medaro.am. Просьбу больше не писать мы помним и после того, как остальные записи о письме удалены, — иначе забудем и напишем снова.

Оговорим честно и здесь: «письмо открыто» — это оценка, а не факт. Почтовые программы Apple и Google часто подгружают картинки писем сами, ещё до того как человек письмо увидел, — открытие засчитывается, хотя читать его никто не начинал. Поэтому фактом мы считаем только нажатие на ссылку, а число открытий — приблизительной оценкой.

Журнал обращений к серверу

С версии v3 наш сервер ведёт журнал обращений к сайту. Цель — безопасность, разбор сбоев и разбор злоупотреблений: видеть атаки, взломы, перебор паролей и злоупотребления и знать, кто и что загрузил на сайт. Страницы, которые Cloudflare отдал из своего кеша, до нашего сервера не доходят и в журнал не попадают.

О каждом обращении пишется: дата и время; IP-адрес — полностью (его сообщает нашему серверу сеть Cloudflare) — и страна по нему; строка, которой представляется браузер (user-agent), и выведенный из неё тип устройства — телефон, планшет или компьютер; метод запроса; полный адрес страницы — вместе с параметрами после «?»; код ответа, его размер и время подготовки; сайт, с которого вы пришли, — только его домен.

Адрес страницы записывается полностью. По нему видно, какую страницу вы открыли — например, страницу конкретного врача, клиники, лаборатории или болезни, — какие фильтры выбрали и что искали, если текст поиска был в адресе. IP-адрес записывается полностью для всех адресов, включая служебные адреса нашей статистики и картинки и ссылки из писем клиникам. Исключение одно: значения служебных параметров входа — одноразовые коды и ключи из писем о подтверждении почты и восстановлении пароля и подобное — заменяются пометкой «[скрыто]», чтобы журнал не давал доступа к чужим аккаунтам. Часть адреса после «#» браузер серверу не отправляет вовсе.

Чего в журнале нет: того, что вы отправляете в теле запроса, — содержимого форм (кроме того, что браузер сам ставит в адрес страницы, как текст поиска врачей), паролей, кук, текста отзывов и сообщений, аккаунта, с которого вы вошли. Исключение — загрузка файлов на сайт (сейчас это документы для верификации врача): о ней пишется отдельный журнал загрузок — время, IP-адрес, страна, браузер, аккаунт, который загрузил файл, имя и тип файла, размер и результат. Там же отмечается, когда и с какого IP-адреса открывали эти документы. Адрес доставки уведомлений и ключи шифрования к нему тоже передаются в теле запроса и в журнал не попадают; само включение, выключение или обновление подписки журнал записывает как обычное обращение — с IP-адресом, браузером и временем. Отправка формы «Заметили ошибку?» попадает в журнал как обычное обращение — строка с IP-адресом, браузером и временем, без текста сообщения и адреса почты. У самого сообщения в базе хранится точное время отправки, поэтому администратор сервера может сопоставить сообщение с IP-адресом по времени. Чтобы защититься от злоупотреблений, сервер ограничивает частоту отправки формы по IP-адресу, который держит только в памяти и в базу не пишет.

Технические журналы служб сервера — хранилища файлов, шлюза, службы входа, туннеля — тоже могут содержать IP-адрес: например, хранилище записывает его при каждом запросе фотографии врача. Эти журналы ограничены по объёму и перезаписываются по мере заполнения — при нынешнем трафике примерно за 1–5 недель.

Журналы хранятся только на нашем сервере в Армении и в резервные копии не попадают. Доступ к ним есть только у администраторов сервера. Мы никому их не передаём и ни с чем не объединяем — ни с Google Analytics, ни с аккаунтами; раскрыть записи можем только по законному требованию уполномоченного государственного органа. Журнал обращений и журнал загрузок храним 12 месяцев, затем записи удаляются автоматически.

Журнал ведётся для всех обращений, в том числе при включённом сигнале «Не отслеживать»: это не статистика посещаемости, а защита сайта. Записи привязаны к IP-адресу, а не к имени. Чтобы узнать, что журнал хранит о вашем IP-адресе, напишите на info@medaro.am и укажите адрес и примерное время.

Уведомления о новых статьях

С версии v4 можно получать уведомления о новых статьях блога Medaro — на телефон или компьютер, даже когда сайт закрыт. Сами они не включаются и не всплывают: нужно нажать кнопку согласия — в конце статьи или в окне колокольчика в шапке сайта, — а затем разрешить уведомления в окне браузера. Пока вы этого не сделали, сайт ничего не регистрирует в вашем браузере и разрешений не запрашивает. Тема одна — новые статьи блога. Тем по болезням и специальностям нет и не будет: сам выбор такой темы был бы сведением о здоровье.

Когда вы включаете уведомления, браузер выдаёт адрес доставки — длинную случайную ссылку на сервер службы доставки, которая знает, какому браузеру на каком устройстве передать сообщение, — и два ключа, которыми шифруется текст уведомления. Мы храним их вместе с языком уведомлений (это язык страницы, на которой вы их включили), темой, названием службы доставки (Google, Apple, Mozilla или Microsoft — мы определяем его по адресу), версией этого документа, датой подписки — без времени, — датами последней удачной и последней неудачной доставки и числом неудачных попыток подряд. У устройств самих администраторов портала есть ещё пометка «получать проверочные уведомления».

Чего в подписке нет: IP-адреса, строки браузера, модели и других сведений об устройстве, связи с аккаунтом — даже если вы вошли, — истории заходов на сайт и отметок о том, какое уведомление вам показано и открыли ли вы его. Время подписки мы не храним намеренно: по точному времени подписку можно было бы сопоставить с записью журнала обращений. Чтобы защититься от злоупотреблений, сервер ограничивает частоту включений и выключений по необратимому хэшу IP-адреса, который держит только в памяти и в базу не пишет. Если служба доставки вашего браузера нам не известна, подписка не создаётся: мы запоминаем только имя сервера этой службы и сколько раз через неё пытались подписаться — на 12 месяцев, чтобы решить, стоит ли её поддержать. В админке сайта видны только итоговые числа: сколько подписок, на каких языках и у каких служб, сколько человек подписались и отписались за день; адресов подписок там нет.

Уведомление готовит наш сервер — обычно это заголовок и первая фраза новой статьи с обложкой — на языке вашей подписки и со ссылкой только на страницы medaro.am. Доставляет его не наш сервер, а служба доставки, которую выбрал ваш браузер: Google, Apple, Mozilla или Microsoft, все — в США (подробнее — в разделе «Кому мы передаём данные»). Текст уведомления зашифрован ключами вашего браузера, служба доставки его не прочтёт. Уведомление видно на экране устройства, в том числе заблокированного, поэтому о статьях на деликатные темы оно приходит с нейтральным заголовком и без картинки.

Значок и картинку уведомления устройство загружает с наших адресов medaro.am и api.medaro.am, как любую картинку сайта. Ссылка в уведомлении помечена параметрами utm_source=push и utm_medium=web_push и названием рассылки — одинаковыми у всех получателей: по ним Google Analytics считает, сколько переходов дала рассылка, а журнал обращений записывает адрес как есть. Ничего, что указывало бы на вашу подписку или устройство, в ссылке нет. Мы считаем только, сколько уведомлений приняли службы доставки; появилось ли уведомление на экране и кто его открыл, мы не отслеживаем.

Выключить уведомления можно в любой момент одним нажатием: в окне колокольчика в шапке сайта — кнопкой «Выключить уведомления». Браузер снимает подписку, запись в нашей базе удаляется сразу, служебный скрипт уведомлений снимается с регистрации. Можно и запретить уведомления для medaro.am в настройках браузера, а на iPhone и iPad — удалить сайт с экрана «Домой»: тогда служба доставки при следующей отправке ответит, что подписки больше нет, и мы удалим запись. Подписку, на которую пять уведомлений подряд не удалось доставить или больше 60 дней не было ни одной удачной доставки, а последняя попытка тоже не удалась, мы удаляем при ночной чистке. Сроки — в разделе «Сколько мы храним данные».

Оговорим честно: адрес доставки — это псевдоним, а не имя, но служба доставки знает, какому браузеру на каком устройстве он принадлежит, а нередко — и в какой аккаунт Google, Apple, Mozilla или Microsoft выполнен вход в этом браузере. Мы этого не знаем, но запрос о подписке записан в журнале обращений вместе с IP-адресом. Поэтому подписку мы считаем персональными данными и обращаемся с ней так же, как с остальными: она хранится на нашем сервере в Армении и, как всё остальное, попадает в резервные копии.

Кому мы передаём данные

Никому не продаём и для рекламы не передаём. Ваши записи — аккаунт, отзывы, документы, подписки на уведомления, журнал обращений, статистика поиска — лежат на нашем собственном сервере в Армении; рекламной сети и CRM у портала нет. Сторонних служб, через которые проходят или у которых хранятся данные, шесть, и мы называем их все: Cloudflare, Google Analytics, OpenStreetMap, Zoho Mail, Google Drive и PowerDMARC. Если вы включите уведомления о новых статьях, добавится седьмая — служба доставки уведомлений вашего браузера.

Cloudflare. Сайт работает через сеть компании Cloudflare, Inc. (США): она защищает от атак, ускоряет загрузку и соединяет посетителей с нашим сервером. Все обращения к medaro.am и api.medaro.am проходят через её узлы, поэтому Cloudflare видит ваш IP-адрес, адреса страниц, сведения о браузере и то, что вы отправляете сайту, включая содержимое форм, — без этого такая служба работать не может. Если соединение сорвалось, браузер может отправить Cloudflare технический отчёт об ошибке: адрес страницы и тип сбоя.

Резервная копия сайта у Cloudflare. Чтобы портал открывался и при отключении нашего сервера, каждую ночь мы сохраняем в Cloudflare копию публичных страниц — только того, что и так видно всем: каталога, карточек и фотографий врачей, страниц организаций, опубликованных отзывов, статей. Аккаунтов, почтовых адресов, неопубликованных отзывов, документов, журнала обращений и статистики в копии нет. Пока сервер отключён, вы видите эту копию, а вход, формы и поиск по тексту не работают. Убранное с сайта исчезает из копии со следующим ночным снимком, а фотография врача, которую решено убрать по просьбе, — в тот же день.

Google Analytics. На страницах портала работает счётчик посещаемости Google Analytics — служба компании Google LLC (США). Данные обрабатываются на серверах Google в США и других странах, то есть передаются за пределы Армении. Счётчику видно: адрес открытой страницы — без части после «#», без кодов входа и без текста поискового запроса; с какой страницы вы пришли; сколько времени провели и докуда прокрутили; нажатия на ссылки на другие сайты и скачивания файлов; начало и отправку форм — без того, что вы в них вписали; с версии v3 — нажатия на номера телефонов и кнопки «Позвонить» (кроме коротких и экстренных номеров) и на ссылки на Google Карты, Яндекс Карты и 2ГИС, в том числе в блоке «Построить маршрут»: что нажато, в какой части страницы и на странице какой организации или врача, без номера телефона и без вашего местоположения; а также IP-адрес, устройство, браузер, язык и примерное местоположение до города. Ни имени, ни почты, ни телефона, ни содержимого вашего профиля мы в счётчик не передаём. В «Моём аккаунте», кабинете врача и администраторской части счётчика нет совсем. Рекламные функции счётчика выключены: сигналы Google, персонализация рекламы, связь с рекламными кабинетами Google. Подробные данные о визитах Google Analytics хранит 14 месяцев; если вы снова заходите на сайт, срок для данных, связанных с вашей кукой _ga, отсчитывается заново. Нужен счётчик нам для двух вещей: понимать, сколько людей заходит и какие разделы читают, и видеть, помогает ли портал дозвониться до клиники и добраться до неё. Отказаться можно — официальное расширение Google (tools.google.com/dlpage/gaoptout) выключает этот счётчик на всех сайтах сразу; работает и обычная блокировка следящих скриптов в браузере.

Уведомления. Если вы включили уведомления о новых статьях, мы отправляем их через службу доставки, которую выбрал ваш браузер, а не мы: Google (Chrome, браузеры на Android и большинство браузеров на основе Chrome), Apple (Safari на iPhone, iPad и Mac), Mozilla (Firefox) или Microsoft (Edge). Все четыре — компании США, поэтому адрес доставки и зашифрованные уведомления передаются за пределы Армении. Прочитать уведомление служба не может: оно зашифровано ключами вашего браузера. Ей видно, что medaro.am отправил сообщение на этот адрес, когда и какого размера. С этой службой ваш браузер связан и без нас — так он получает уведомления от любых сайтов; как она обращается с этими данными, описывает производитель вашего браузера.

Карты. На странице «Карта» и в мини-картах на страницах клиник, аптек, лабораторий и сетей аптек и лабораторий подложка загружается с серверов OpenStreetMap (tile.openstreetmap.org; фонд OpenStreetMap Foundation, Великобритания). Браузер обращается к ним напрямую: им видны ваш IP-адрес, браузер, то, что вы пришли с medaro.am (адрес конкретной страницы не передаётся), и какой участок карты показан — в мини-карте это участок вокруг организации, которую вы смотрите. Если на карте нажать «Рядом со мной», серверы карт получат участки вокруг вашего места; сами координаты ни нам, ни OpenStreetMap не отправляются. Шрифты и изображения отдаются с нашего домена; кроме служб, названных в этом разделе, браузер ни к кому не обращается.

Ссылки на карты Google, Яндекса, 2ГИС и на сайты клиник ведут на чужие сайты: пока вы не нажали, им ничего не передаётся, после — действуют их правила.

Почта. Почта портала работает на Zoho Mail (Zoho Corporation; наш ящик размещён в центре обработки данных Zoho в США). Через Zoho уходят письма о подтверждении регистрации, восстановлении пароля, письма клиникам и письма тем, кто отправил сообщение «Заметили ошибку?», — подтверждение получения, итог проверки и ответы модератора. Копии этих писем остаются в папке «Отправленные» ящика info@medaro.am; если письмо не дошло, в этот ящик приходит уведомление о недоставке с адресом, на который письмо не дошло. Наша программа читает такие уведомления, ничего в ящике не меняя, чтобы отметить у сообщения, что письмо вернулось. Перед отправкой письма формы она проверяет через систему доменных имён (DNS), принимает ли почту домен адреса, — запрашивается только домен, без самого адреса. В ящике info@medaro.am хранятся и письма, которые присылаете вы, — в том числе запросы о ваших данных и отказы от рассылки. Zoho видит адреса, тему и текст писем. Своего почтового сервера у портала нет.

Google Drive. Зашифрованные резервные копии базы и файлов хранятся в облаке Google Drive (Google LLC). Ключ шифрования есть только у нас, поэтому Google видит лишь зашифрованные файлы, а не их содержимое.

Отчёты DMARC. Чтобы никто не мог рассылать письма от имени medaro.am, почтовые службы, которые получают письма с нашим адресом в поле отправителя, присылают о них отчёты. Эти отчёты принимает служба PowerDMARC компании MENAINFOSEC, Inc. (США, штат Делавэр; данные службы размещены на серверах Amazon Web Services), то есть они передаются за пределы Армении. В отчётах — технические данные о письмах, отправленных от имени medaro.am: с какого почтового сервера и сколько писем ушло и прошли ли они проверку подлинности. В подробных отчётах о письмах, не прошедших проверку, могут быть адреса получателей — например, ваш, если наше письмо вам не прошло проверку, — и заголовки писем: отправитель, получатель, тема, дата. Нужны отчёты для одного — вовремя заметить подделку нашего адреса и защитить от неё получателей. Хранит их PowerDMARC по своим условиям (powerdmarc.com/privacy-policy): пока это нужно для работы службы и по требованиям закона, дальше — только в обезличенном виде.

Передать данные мы обязаны только по законному требованию уполномоченного государственного органа. Других оснований для передачи у нас нет.

Сколько мы храним данные

Сроки, которые действуют сейчас.

• Аккаунт, отзывы и профиль врача — пока вы пользуетесь порталом.
• Сессии входа на сервере — до выхода из аккаунта; журнал событий службы входа — 12 месяцев.
• Отклонённые документы верификации — 90 дней, после чего файл удаляется из хранилища.
• Дневная статистика по врачу — 400 дней.
• Таблица, по которой считается «этот посетитель сегодня уже учтён», — 2 суток.
• Статистика поиска по сайту (обезличенные дневные итоги) — 24 месяца; запросы, которые за всё время искали только один раз, — 90 дней.
• Журнал обращений к серверу и журнал загрузок файлов — 12 месяцев.
• Технические журналы служб сервера — при нынешнем трафике примерно 1–5 недель: они ограничены по объёму и перезаписываются сами.
• Данные о визитах в Google Analytics — 14 месяцев.
• Отчёты DMARC в PowerDMARC — по условиям этой службы: пока они нужны для её работы и по требованиям закона.
• Подписка на уведомления — пока вы её не выключите. Если служба доставки ответила, что подписки больше нет (вы запретили уведомления или удалили браузер), удаляем её сразу; если пять уведомлений подряд не удалось доставить или больше 60 дней не было ни одной удачной доставки, а последняя попытка тоже не удалась, — при ночной чистке. Сводные числа подписок и рассылок без адресов, а также тексты отправленных уведомлений — 24 месяца. Пометка «Не сейчас» в браузере действует 90 дней.
• Куки: sb-medaro-auth — до выхода из аккаунта, но не дольше 400 дней; sb-medaro-auth-code-verifier — до завершения входа; NEXT_LOCALE — до закрытия браузера; medaro_vid — 48 часов; _ga и _ga_JQZD411NCY — до двух лет (срок задаёт Google Analytics, браузер может его сократить). Любую из них можно удалить в настройках браузера в любой момент.
• Журнал согласий и журнал действий модераторов храним столько, сколько нужно, чтобы подтвердить законность обработки и обоснованность решений по отзывам.
• Сообщения «Заметили ошибку?» и отметки о письмах — пока сообщение не разобрано и ещё 12 месяцев после разбора. Адрес почты в неразобранном сообщении храним не дольше 12 месяцев с получения: после этого удаляем его, а сообщение остаётся без адреса; раньше срока — по вашей просьбе (раздел «Ваши права»). Копии наших писем и уведомления о недоставке в ящике info@medaro.am хранятся как остальная переписка — см. пункт о письмах в этом ящике ниже.
• Письма клиникам: отметки об открытиях и нажатиях — 6 месяцев, запись о самом письме — 12 месяцев.
• Письма в ящике info@medaro.am — без ограничения срока: это переписка с вами и с организациями, в том числе ваши запросы о данных, копии наших писем о сообщениях «Заметили ошибку?» и уведомления о недоставке.
• Резервные копии базы и файлов: ежедневные — 30 дней, на первое число месяца — до 3 месяцев; дольше 3 месяцев резервные копии не хранятся. Копия публичных страниц у Cloudflare каждую ночь заменяется новой.

Ваши права

Вы вправе получить копию своих данных, исправить их, удалить аккаунт и отозвать согласие.

Часть этого пока не сделана кнопками: в разделе «Мой аккаунт» вы видите свои отзывы и их статус, но самостоятельного удаления аккаунта на сайте ещё нет. Напишите на info@medaro.am с адреса, на который зарегистрирован аккаунт, — мы выполним запрос и ответим письмом. Адрес почты из сообщения «Заметили ошибку?» удалим раньше срока, если вы ответите на наше письмо или напишете на info@medaro.am; само сообщение останется без адреса, а копии уже отправленных писем в ящике info@medaro.am хранятся как остальная переписка.

Уведомления о новых статьях выключаются без письма — в окне колокольчика в шапке сайта или в настройках браузера (раздел «Уведомления о новых статьях»). Подписка не связана ни с аккаунтом, ни с почтой, поэтому найти её по вашему имени или адресу почты мы не можем: выключить её можно только на том устройстве, где её включали.

Про отзывы отдельно: при удалении аккаунта отзывы не исчезают со страниц врачей, а теряют связь с вами и остаются анонимными — иначе оценки задним числом пропали бы из рейтинга врача и картина для других пациентов исказилась бы. Если вы хотите убрать именно текст своего отзыва, скажите об этом в письме.

Что изменилось в версии v5

По сравнению с версией v4 от 9 октября 2026 года.

• В форме «Заметили ошибку?» адрес электронной почты теперь обязателен, телефон мы больше не принимаем. На адрес, как правило, приходит подтверждение, что сообщение получено, а после проверки — её итог; текста вашего сообщения в письмах нет. Адрес можно удалить раньше срока.
• Мы храним отметки о доставке этих писем и читаем уведомления о недоставке в своём почтовом ящике. Письма уходят через ту же Zoho Mail — новых служб нет.
• Просьбы убрать фотографию врача рассматривает модератор; чтобы убедиться, что пишет сам врач или его клиника, мы можем попросить подтверждение.
• В разделах «На каком основании мы обрабатываем данные», «Какие данные мы храним», «Журнал обращений к серверу», «Кому мы передаём данные», «Сколько мы храним данные» и «Ваши права» добавлено то, что касается формы «Заметили ошибку?» и фотографий врачей; в остальном всё как в версии v4.