Только то, что вы сами вписали в профиль браслета: имя, телефоны контактов и — по вашему выбору — сведения о здоровье (группа крови, аллергии, диагнозы, лекарства, особенности общения). Обязательны лишь имя и один контакт, всё остальное добровольно. Домашний адрес мы не собираем и не показываем.
Чтобы завести профиль, нужен кабинет: почта и пароль. Почта — это второй способ вернуть доступ к браслету, если секретная ссылка потеряется. Иначе возвращать было бы нечем: сервер хранит только отпечаток ссылки и выдать её заново не может. На эту же почту приходят письма о подтверждении адреса и о смене пароля.
Пароль мы не храним. В базе лежит результат его необратимого преобразования — PBKDF2, 210 000 повторов, у каждого пароля своя соль. Восстановить из этой записи исходный пароль нельзя, поэтому забытый пароль мы не высылаем, а заменяем по ссылке из письма.
В кабинете видно ваши браслеты и открытия их страниц. Почту мы не передаём третьим лицам и не рассылаем по ней рекламу.
Страница профиля открывается по ссылке из NFC-метки. Её увидит любой, кто приложит телефон к браслету, — в этом смысл сервиса. Ссылку нельзя найти поиском: страницы закрыты от индексации, а код метки состоит из восьми символов и не подбирается.
Каждое открытие страницы профиля мы записываем: код метки, время и строку браузера. Ни номера телефона, ни местоположения того, кто открыл страницу, при этом не сохраняется. Владелец браслета видит у себя, сколько раз и когда страницу открывали, — так он понимает, что метка записана и работает.
Если владелец включил уведомления и указал свою почту, мы отправляем ему письмо о том, что страницу открыли: время открытия и ничего о самом человеке. По умолчанию уведомления выключены, включить и выключить их можно на своей ссылке редактирования.
Владелец экстренного профиля может включить режим поиска — тогда на странице появляется просьба позвонить ему. Никаких новых данных при этом не собирается, меняется только то, что видит открывший страницу. Режим выключается тем же переключателем.
Профиль сохраняется только после того, как вы отметили согласие на обработку персональных данных, включая данные о здоровье. Время согласия фиксируется. Заполняя профиль ребёнка, согласие даёт родитель или законный представитель.
Секретная ссылка, которую вы получили при сохранении, — единственный способ изменить или удалить профиль. Удаление стирает запись из базы без возможности восстановления.
Кабинет удаляется целиком в его настройках. Вместе с ним стираются профили всех привязанных браслетов и журнал открытий их страниц — тоже без возможности восстановления. Сами браслеты остаются рабочими: на них можно завести новый профиль.
Данные хранятся на серверах Supabase, передача — только по HTTPS. Доступ приложения к базе идёт через служебный ключ на сервере; публичный ключ доступа к профилям не имеет.
По вопросам обработки данных: support@izim.kz.