Политика за поверителност

Знаем, че повечето хора не четат политики за поверителност. Ето честно обобщение преди пълния документ — а всичко в него е обяснено подробно, с причините, по-надолу.

• Записите Ви се пазят на две места: на телефона Ви и на наш сървър. Телефонът Ви остава мястото, от което приложението чете, и приложението продължава да работи без връзка. Но копие от записите Ви за настроение, дневника, дневника на храненето, целите и профила Ви се изпраща на сървър, който ние поддържаме, за да оцелеят при загубен или сменен телефон. Това се промени през септември 2026 г. Преди това приложението изобщо нямаше интернет връзка и нищо никога не напускаше устройството.
• Това означава, че технически можем да видим Вашите данни, и искаме да го кажем направо. Записите се намират в обикновена база данни на машина, която собственикът на приложението контролира. Ние не ги четем, нямаме причина да го правим и нищо в приложението или на сървъра не ги анализира, оценява или профилира — но „не можем да видим“ вече не е вярно и няма да продължим да го твърдим.
• Къде е сървърът: в България. Това е компютър, който собственикът поддържа и физически контролира, в ЕС. Записите Ви не са в Amazon, Google или Microsoft. Раздел 10 обяснява от какво Ви защитава това и — също толкова важно — от какво не.
• Не продаваме данните Ви, не ги споделяме и не ги даваме на рекламодатели. В приложението няма аналитика, няма реклама, няма проследяване и няма трета компания, която да получава записите Ви. Единствените имейли, които изпращаме, са за акаунта Ви — код за възстановяване на паролата, код за потвърждение на адреса и предупреждение, преди неизползван акаунт да бъде изтрит — вижте Раздел 2.
• Питаме, преди да запазим каквото и да е за здравето Ви — веднъж, при регистрация. Създаването на акаунт изисква собствено квадратче за отметка, „I agree to saving my health data“ („Съгласявам се да се запазват здравните ми данни“), отделно от приемането на Общите условия. Без него не се създава акаунт и нищо не се запазва — вижте Раздел 4.
• Можете да изтриете всичко и то наистина се изтрива. „Управление на профила“ → изтриване на профила премахва профила и всеки ред, който му принадлежи, от сървъра незабавно — не „в рамките на 30 дни“ и не отбелязано като скрито.
• Ако спрете да използвате Health Path, ние го изтриваме вместо Вас. Профил без влизане в продължение на 12 месеца се изтрива заедно с всичко в него — вижте Раздел 15.
• Health Path продължава да изключва собственото автоматично резервно копиране на Android, така че записите Ви не отиват във Вашия Google акаунт. Сега нашият сървър е резервното копие — Раздел 7.
• Честните рискове на новия дизайн, казани тук, а не скрити някъде: сега съществува копие от много лично писане върху машина, в която по принцип може да се проникне, която може да бъде иззета или изгубена; машината е един компютър в дом, без сигурността на център за данни и без резервна машина; и данните Ви пътуват през интернет, за да стигнат до нея, криптирани по пътя. Версия 1 на тази политика жертваше всеки един от тези рискове и плащаше за това с „изгубиш ли телефона, изгубваш дневника си“. Тази версия прави обратната размяна и Вие трябва да знаете коя от двете ползвате.

Ако това е всичко, което Ви е трябвало, можете да спрете дотук. Ако искате подробностите — какво точно се съхранява, защо, какви са правата Ви и как да се свържете с нас — продължете да четете.

Health Path е създадено и публикувано от Габриела Станчева, физическо лице, базирано в България. Понастоящем зад приложението не стои регистрирана компания — то се публикува от едно лице, от негово собствено име.

Искаме да сме открити какво означава това, защото е реален компромис, който трябва да разберете:

• Какво означава за Вас: съществува едно отговорно лице, с чието реално име можете да се свържете, което носи лична и юридическа отговорност за начина, по който това приложение обработва Вашата информация.
• Какво означава за нас: публикуването под лично, а не под фирмено име, означава, че собственикът поема тази отговорност лично, без защитата на ограничената отговорност, която би дала регистрирана компания. Споменаваме това не защото променя правата Ви, а защото смятаме, че трябва да знаете с кого всъщност имате работа.

Контакт за всичко, свързано с поверителността или Вашите данни:

Габриела Станчева
гр. София 1404, бул. „България“ № 69, България
support@healthpathapp.com
https://healthpathapp.com

Имаме ли длъжностно лице по защита на данните?

Не, и според фактите днес законът не изисква такова. Длъжностно лице по защита на данните (ДЛЗД) е задължително за организации, чиято основна дейност включва обработване на данни от специална категория — каквито здравните данни са — в голям мащаб. Примерите, които регулаторите дават, са болници, застрахователи и големи рекламни мрежи.

Това е по-близък въпрос, отколкото беше във версия 1.0, и предпочитаме да покажем разсъжденията си, вместо да заявим извод. Health Path вече наистина съхранява здравни данни централизирано, така че едната половина от теста очевидно е изпълнена. Половината, която не е изпълнена, е мащабът: това е приложение на един човек с малък брой потребители, работещо на една-единствена машина. „Голям мащаб“ се преценява по броя засегнати лица, обема и обхвата на данните, срока на съхранение и географския обхват — и по всички тези показатели приложение с този размер не е онова, към което разпоредбата е насочена.

Това вече е праг, който наистина трябва да следим, и ще го следим. Ако Health Path нарасне дотолкова, че обработването основателно да може да се нарече широкомащабно, ще бъде назначено ДЛЗД и този раздел ще бъде пренаписан. Версия 1.0 можеше да разчита на „няма централно копие“, за да приключи разговора. Тази версия не може.

Всичко по-долу се съхранява на две места: на Вашето собствено устройство, в частна зона за съхранение, запазена от Android за това приложение, до която други приложения нямат достъп, и на сървъра на Health Path, описан в Раздел 3. Това е пълният списък — приложението не събира нищо друго, което да не е тук.

„До изтриване“ навсякъде по-долу подлежи и на правилото за 12 месеца бездействие от Раздел 15: ако не влезете в профила си в продължение на една година, ние изтриваме профила сами.

Получатели: Cloudflare, Inc. и Resend (Plus Five Five, Inc.), и никой друг. Cloudflare пренася криптираната връзка между телефона Ви и нашия сървър. Resend доставя трите вида имейли за акаунта, описани по-долу, затова получава имейл адреса Ви и самото съобщение — никога записите Ви, паролата Ви или нещо, което сте написали. Раздел 12 обяснява точно какво може и какво не може да вижда всяка от тях. Извън това нищо от тази таблица не се разкрива, продава или предава на друга компания, услуга или лице. Няма аналитична компания, няма рекламодател, няма доставчик на доклади за сривове и няма друго приложение или партньор, който да получава каквото и да е от тях.

Кой има достъп от наша страна: един човек — собственикът на приложението, посочен в Раздел 1, който администрира сървъра. Няма служители, няма подизпълнители и няма екип за поддръжка с достъп. Няма административен екран в приложението или на сайта, който да показва нечии записи; четенето им би означавало собственикът да отвори базата данни ръчно на самата машина. Казваме това не защото звучи впечатляващо, а защото това е честният отговор на въпроса „кой би могъл да погледне?“.

Какво се случва, ако не предоставите нещо. Имейл адрес, показвано име и парола за акаунт са задължителни, за да създадете и да влезете в акаунт изобщо — без тях не можете да използвате приложението. Всичко останало е по избор: ако просто никога не използвате дадена функция, единствената последица е, че съответната част от приложението няма какво да Ви покаже.

Нужен Ви е акаунт, за да използвате Health Path, а създаването му включва да кажете „да“ за запазването на здравните Ви записи. Самият акаунт — имейл, име, парола — и настройките Ви се съхраняват на нашия сървър веднага щом се регистрирате. Същото важи и за настроенията, бележките, храната, движението, целите и отговорите от началния въпросник, щом ги запазите, защото сте се съгласили с това чрез отделното квадратче за отметка при регистрация — вижте Раздел 4. Това, което приложението не предлага, е начин да го използвате, като държите тези записи само на телефона Ви.

Какво не събираме, никъде, никога: Вашето местоположение, Вашите контакти, снимки от галерията, рекламния идентификатор на устройството Ви, история на разглежданите страници или каквато и да е информация за начина, по който използвате други приложения. Приложението няма разрешение за достъп до нищо от изброеното и няма код, който изобщо да се опита.

По въпроса „защо приложението иска моя имейл?“ Той е Вашето потребителско име, той е това, което прави акаунта Ви Ваш на две устройства, и той е адресът, на който изпращаме имейлите за акаунта. Никога не го използваме за реклама, не Ви добавяме към никакъв списък и не го даваме на никого освен на Resend, която доставя тези имейли вместо нас.

Единствените имейли, които Health Path изпраща, всички от no-reply@healthpathapp.com:

1. Код за възстановяване на паролата, когато го поискате от екрана „забравена парола“. Валиден е 15 минути.
2. Код за потвърждение на имейл адреса Ви, при регистрация или когато поискате нов. Валиден е 48 часа. Потвърждаването не е задължително — нищо в приложението не се заключва, ако не го направите — но потвърден адрес е този, на който можем да разчитаме, за да Ви помогнем да влезете отново.
3. Предупреждение, преди неизползван акаунт да бъде изтрит, около 11 месеца след последното Ви влизане и отново около две седмици по-късно (Раздел 15).

Това е пълният списък. Без бюлетини, без съвети, без „липсвате ни“, без реклама от какъвто и да е вид. Съобщенията не съдържат проследяващ пиксел, а логото е прикачено към самия имейл, вместо да се зарежда от сървър, така че отварянето на имейла не казва на никого, че сте го отворили.

Това е разделът, който се промени най-много между версия 1 и версия 2 на тази политика, затова ще бъдем точни, а не успокояващи.

До септември 2026 г. приложението Health Path изобщо не искаше от Android разрешение за използване на интернет и всичко във версия 1.0 на тази политика беше изградено върху това. Сега го иска. Приложението може да отвори мрежова връзка и я използва, за да говори с едно-единствено място: сървър на Health Path. С нищо друго не говори.

Какво приложението продължава да прави само на телефона Ви

Приложението е това, което инженерите наричат offline-first („първо офлайн“), и това не е подробност — това е причината приложението да работи в самолет или в мазе.

• Всеки запис, който правите, се записва първо на телефона Ви и се чете обратно от телефона Ви. Нищо не чака мрежата.
• Ако сървърът е недостъпен, приложението продължава да работи точно както обикновено. То тихо пази списък с промененото и го изпраща по-късно.
• Единственото, което наистина изисква връзка, е създаването на акаунт и влизането в него, защото акаунтът Ви вече се намира на сървъра, а не на телефона.

Какво се изпраща към сървъра и кога

Изпраща се това, което в таблицата в Раздел 2 е отбелязано с „Устройство + сървър“ — Вашият профил, записите Ви за настроение и причините към тях, бележките в дневника, дневникът за храна и движение, добавените от Вас храни и активности, целите Ви, настройките Ви и времевите отпечатъци, които различават две устройства.

Изпраща се при стартиране на приложението, когато го върнете на преден план, малко след като напишете нещо, и приблизително на всеки пет минути, докато приложението е отворено. Ако изпращането се провали, приложението изчаква и опитва по-късно — то никога не влиза в непрекъснат цикъл от опити, който да изтощава батерията или мобилните Ви данни.

Къде е сървърът

Това е компютър, който собственикът на приложението поддържа и физически контролира, в България — в рамките на ЕС. Health Path не наема място от Amazon, Google, Microsoft или друг облачен доставчик и записите Ви не се съхраняват в такъв. Базата данни е обикновена PostgreSQL база данни на тази машина.

Машината няма отворен порт към интернет. Вместо това тя се свързва навън към Cloudflare и Cloudflare подава заявките обратно по същата връзка. На практика това означава, че на сървъра няма врата, чиято дръжка някой в интернет да опита. Раздел 10 обяснява от какво това Ви защитава и от какво не, а Раздел 12 обяснява какво може да вижда Cloudflare.

Какво никога не се изпраща — нито от приложението, нито от сървъра

• Никаква аналитика. Приложението не съдържа аналитичен инструмент, инструмент за отчитане на сривове, рекламен софтуер или код за проследяване. Не измерваме кои екрани отваряте или колко време прекарвате в тях.
• Никакво местоположение, контакти, снимки, галерия, рекламен идентификатор или история на разглеждане. Приложението няма разрешение да достигне до нищо от тях и няма код, който да опита.
• Нито един от записите Ви не се изпраща на трета компания. Списъкът на това кой получава каквото и да е, е в Раздел 2 и в него има две имена: Cloudflare, който пренася връзката, и Resend, която получава само имейл адреса Ви и имейлите за акаунта, които Ви изпращаме.

Честните последици от този дизайн

Версия 1.0 на тази политика имаше тук раздел, обясняващ какво не можем да направим, защото не пазим копие от данните Ви. По-голямата част от това се обърна, а новите компромиси са следните.

• Изгубен или сменен телефон вече не унищожава дневника Ви. Влезте в профила си на новия телефон и записите Ви се връщат. Това е единствената причина сървърът да съществува.
• Но вече съществува копие от много лично писане на машина, която Вие не контролирате. По принцип в нея може да се проникне, тя може да бъде иззета по законен ред или изгубена при хардуерна повреда. Взели сме реални мерки (Раздел 10) и няма да се преструваме, че те свеждат този риск до нула.
• Вече технически можем да четем записите Ви, защото те се намират в база данни, която собственикът администрира. Ние не го правим, никъде няма функция, която да го прави, и никакъв автоматичен процес не разглежда съдържанието им — но изречението „не бихме могли да погледнем, дори да искахме“, което версия 1.0 на тази политика съдържаше, е оттеглено и няма да се върне.
• Сървърът е един компютър в дом, а не център за данни. Няма резервна машина и няма автоматично превключване. Ако спре — токов удар, повреден диск — приложението продължава да работи на телефона Ви, но синхронизацията спира, докато той се върне. Предпочитаме да Ви кажем това, отколкото да Ви оставим да си представяте шкаф с резервиран хардуер.

Защо в това приложение няма изскачащ прозорец от типа „банер за бисквитки“

Някои приложения, а и повечето уебсайтове, Ви показват изскачащ прозорец, който Ви моли да приемете бисквитки, или нещо подобно, преди да можете да ги използвате. Health Path не показва нищо подобно и предпочитаме да обясним защо, вместо да Ви оставим да се чудите дали просто сме пропуснали тази стъпка.

Този вид изскачащ прозорец съществува по конкретна причина: да поиска Вашето разрешение, преди нещо извън Вашия контрол — обикновено друга компания — да чете или записва информация на Вашето устройство за цел, която не е строго необходима, за да Ви предостави функцията, която сте поискали, често за целите на проследяване или реклама. Health Path не прави това.

Това остана вярно и след появата на сървъра, и ето защо. Правилото прави изключение за съхраняване на неща на Вашето устройство, когато то е строго необходимо, за да Ви бъде предоставена услугата, която сте поискали. Всичко, което приложението записва на телефона Ви, попада в тази категория: самите записи, токенът за вход, който Ви държи вписани, опашката с промени, чакащи синхронизация, идентификаторът на устройството, който пази два телефона да не изтриват взаимно записите си. Нищо от това не е реклама, нищо от него не е проследяване, нищо не се чете от друга компания и нищо не Ви следва никъде. Съгласието за самите Ви здравни данни е различен въпрос с различен отговор — това е Раздел 4, и там отговорът е, че съгласие се изисква. Този параграф се отнася само до тясното правило за бисквитките, а то наистина няма за какво да Ви пита тук.

Съгласно правото на ЕС за защита на данните определени категории лична информация получават допълнителна правна защита заради това колко са чувствителни — това включва информация за физическото или психичното Ви здраве. Не е необходимо да идва от лекар, за да се брои: модел от записи, който разкрива нещо за психичното или физическото Ви състояние, също се брои.

Обмислихме това внимателно, вместо да поемем по лесния път и да го наречем обикновена информация за „начин на живот“, и честният ни извод е:

• Записите Ви за настроение, в „Дневник“ и „Календар“, са здравни данни. Повтарящ се, датиран запис на това как се чувствате, е точно нещото, заради което тази защита съществува.
• Текстът в дневника Ви е здравни данни и вероятно най-чувствителното нещо в приложението, защото е свободен текст. Бихте могли да пишете за каквото и да е, а за много хора, използващи приложение, създадено за чувство за вина от храна и образ на тялото, това ще включва точно нещата, които тази защита е предназначена да покрие.
• Дневникът Ви по хранителни групи също е здравни данни, дори без включени калории. Предвид за какво е това приложение, запис на това какво сте яли и какво не сте яли във времето е в състояние да разкрие нещо за отношението Ви към храната — затова се отнасяме към него със същата грижа като към останалото, а не го пропускаме като „просто дневник на храненето“.
• Отговорите Ви от началния въпросник за това за какво бихте искали подкрепа, и целите, които избирате от този списък в „Моите цели“, също са здравни данни. Въпросът пита директно за неща като подкрепа при ограничително хранене и образ на тялото, а изборът на цел разкрива нещо за отношението Ви към храната или тялото Ви.
• Дневникът Ви за движение — кои от петте групи активности сте отметнали в даден ден — се третира по същия начин. Сам по себе си той е оскъден, но до дневник за храна в приложение за ограничително хранене записът на физическата активност може да разкрие същото, което разкрива и дневникът за храна. Предпочитаме да го защитим прекомерно, отколкото да спорим за него.

Какво следва от това: законът изисква от нас да поискаме Вашето ясно, изрично „да“, преди да обработваме този вид информация — отделно от, и в допълнение към, съгласието с общите условия на приложението. Изпращането му към сървър прави това изискване по-важно, а не по-маловажно: версия 1 на приложението държеше здравните данни на собствения Ви телефон, където последицата от слабо съгласие беше малка. Сега има централно копие.

Как питаме. От 13 септември 2026 г. екранът за регистрация има две квадратчета за отметка и двете започват празни. Първото приема Общите условия и тази Политика за поверителност. Второто е само за здравната Ви информация: „I agree to saving my health data.“ („Съгласявам се да се запазват здравните ми данни.“) То обхваща настроенията Ви и причините, които добавяте, бележките в дневника, дневника за храна, дневника за движение, целите Ви и отговорите от началния въпросник за това за какво бихте искали подкрепа, как се чувствате относно храната и как се чувствате в тялото си.

• Подчертаните думи „health data“ отварят кратко обяснение точно на този списък, къде се съхранява (профилът Ви, на нашия сървър в България), че никога не се продава или споделя, и как да бъде изтрито. Прочитането му не отмята квадратчето.
• Без това квадратче не се създава акаунт — а без акаунт нищо не се запазва. Приложението е изградено около запазването на тези записи, затова не предлагаме акаунт, който тихомълком да ги изхвърля.
• „Да“-то се записва с датата и часа, в който сте отметнали квадратчето, и версията на тази политика, действаща към момента, и се съхранява с акаунта Ви — за да можем, ако някога бъдем попитани, да покажем, че сме попитали.
• От 11 до 13 септември 2026 г. приложението питаше по различен начин: прозорец се появяваше първия път, когато се запазваше всеки вид запис, с „Not now“ („Не сега“) и „Yes, that’s okay“ („Да, добре е“). „Да“, дадено по този начин, продължава да важи. Акаунт от този период, който никога не е казал „да“, пази отговорите от началния въпросник и избраните цели само на телефона.

Вашият имейл адрес за акаунта, показваното име и изборът на аватар не са здравни данни — те са обикновена информация за акаунта, обработвана на друго, по-леко правно основание, обяснено в Раздел 6.

Правото на ЕС за защита на данните (ОРЗД) се прилага за Health Path, а собственикът на приложението — посочен в Раздел 1 — е „администраторът“. Това означава, че едно идентифицирано лице в България носи юридическа отговорност за всичко в този документ.

Това беше вярно още във версия 1.0, когато нищо не напускаше телефона Ви: законът определя „обработване“ достатъчно широко, за да обхване съхраняването на информация на устройство, а лицето, което решава какво събира едно приложение и защо, е неговият администратор, независимо дали изобщо вижда резултата. Сега, когато има сървър, това дори не е спорен въпрос. Health Path държи централно копие от данните Ви, така че всяко задължение, което законът налага на обикновена онлайн услуга, се прилага към него по обичайния начин.

Какво се промени за Вас, казано честно. Версия 1.0 можеше да твърди, че повечето от правата Ви са изпълнени автоматично, защото единственото копие беше в собствените Ви ръце. Този аргумент отпадна. Правата в Раздел 9 сега трябва да бъдат изпълнявани срещу реална база данни, от реален човек, в реални срокове — и този раздел е пренаписан, за да каже как всяко от тях реално работи, вместо да сочи телефона Ви.

Три задължения се появиха заедно със сървъра, каквито просто не съществуваха преди, и предпочитаме да ги назовем, а не да ги оставим неказани:

• Задължение данните да се пазят сигурно, по начин, който може да бъде преценен — Раздел 10.
• Задължение да Ви уведомим, както и българския надзорен орган, ако някога има пробив — в рамките на 72 часа от узнаването. Раздел 10.
• Задължение да не ги пазим вечно — Раздел 15.

Българското право се прилага наред с ОРЗД, а българският надзорен орган (КЗЛД, координати в Раздел 9) е този, който ни надзирава. Ако живеете другаде в ЕС или ЕИП, можете да се обърнете към органа на собствената си държава.

Относно резервните копия, които сами по себе си са операция по обработване: базата данни на сървъра се архивира, за да не унищожи повреден диск дневниците на всички. Основанието е същото като за архивираните данни, а срокът е в Раздел 15.

„Законен интерес“ се появява точно веднъж в тази таблица и никъде другаде. Това е основание, което позволява на една организация да претегли собствените си интереси срещу Вашите и да реши в своя полза, затова го използваме само за ограничителя на заявки — където интересът е да държим другите извън Вашия акаунт, данните са IP адрес, пазен минути, и нищо в него не докосва записите Ви. Нищо, свързано със здравните Ви данни, не стъпва върху него, а ако възразите срещу тази единствена употреба, пишете ни и ще Ви кажем честно какво би се променило: отговорът е, че защитата би отслабнала, а не че ще откажем.

Не използваме никакви Ваши данни за реклама и не изграждаме профил на Вас, за да предвидим или повлияем на поведението Ви. Нищо в приложението не взема автоматизирано решение за Вас.

Android телефоните обикновено архивират данните на инсталираните приложения в Google акаунта на притежателя си. Health Path изключва това за себе си.

Това не е настройка, която трябва да откривате сами. Приложението указва на Android, в собствената си конфигурация, да не включва данните на Health Path в нито един от двата вида прехвърляне, които Android предлага:

• Резервни копия във Вашия Google акаунт — функцията „Резервно копиране в Google Drive“. Текстът от дневника Ви, историята на настроението и дневникът на храненето никога не се копират там.
• Прехвърляне от телефон на телефон — копието, което Android предлага да направи, когато настройвате ново устройство. Данните на Health Path са изключени и от него.

Направихме това първоначално, защото всичко останало в тази политика казваше, че записите Ви остават на Вашия телефон, а оставено включено, резервното копиране на Android би направило това невярно.

Остава изключено и сега, по друга и също толкова умишлена причина. Собственият сървър на Health Path е резервното копие, а него можем да Ви опишем честно: можем да Ви кажем къде се намира (България), кой го администрира (един назован човек), колко дълго се пазят нещата (Раздел 15) и как да го накарате да Ви забрави (Раздел 9). Резервното копие на Google е копие от дневника Ви в акаунт, който ние не можем да видим, не можем да опишем и не можем да изтрием вместо Вас. Изправени пред избор между две резервни копия, предпочитаме онова, за което може да ни се търси отговорност. Така че отговорът не е „имаме и двете“ — той е едно резервно копие, нашето, и то не е на Google.

Какво означава това за Вас на практика

Изгубен, счупен или сменен телефон вече не унищожава записите Ви. Влезте в профила си на новия телефон и те се връщат от сървъра. Това е цялата причина сървърът да съществува и е обратното на онова, което версия 1.0 на тази политика трябваше да Ви каже.

Две честни уточнения:

• Връща се това, което е било синхронизирано. Ако сте писали записи, докато приложението не е можело да достигне сървъра, и телефонът е бил изгубен, преди то да се свърже отново, точно тези записи са били само на онзи телефон.
• Деинсталирането на приложението не изтрива акаунта Ви. То премахва копието на този телефон. Копието на сървъра остава, докато не изтриете акаунта — умишлено, защото иначе преинсталирането би се върнало празно. Ако искате всичко да изчезне, използвайте „Управление на профила“ → изтриване на профила преди да деинсталирате, или ни пишете след това.

Ако вече сте използвали по-стара версия

Health Path има резервното копиране на Android изключено от първото си публично издание, така че не би трябвало да има старо резервно копие във Вашия Google акаунт. Ако някога се съмнявате, собствените настройки за резервно копиране на Вашия Google акаунт показват какво съхранява за всяко приложение и можете да го изтриете оттам. Ние нямаме достъп до това и не можем да го направим вместо Вас.

Health Path е предназначено за хора на 16 и повече години. Това е наш собствен избор — по-строг от минимума, който самото българско законодателство би изисквало за такъв вид услуга, който е 14 — но смятаме, че 16 е правилният праг за приложение, което се занимава пряко с образа на тялото и чувството за вина от храна.

Ако сте родител или настойник и смятате, че лице под 16 години използва Health Path, Вие (или то) можете да изтриете акаунта и всичко в него по всяко време, директно в приложението (Управление на профила → изтриване на профила) — това го заличава от нашия сървър, както и от телефона. Можете също да пишете на support@healthpathapp.com и ние ще го направим и ще потвърдим, когато е готово. Няма да искаме доказателство за каквото и да било, преди да изтрием акаунт на дете.

Съгласно правото за защита на данните имате набор от права върху личните си данни. Във версия 1.0 на тази политика повечето от тях бяха удовлетворени автоматично, защото единственото копие от каквото и да било беше на собствения Ви телефон. Това вече не е отговорът, затова всеки ред по-долу казва какво реално правим спрямо копието на нашия сървър.

Как проверяваме, че сте Вие. За всичко, което разкрива или изтрива данни, трябва да сме разумно сигурни, че говорим със собственика на акаунта. Обикновено ще Ви помолим да пишете от имейл адреса, който акаунтът използва. Никога няма да Ви поискаме паролата и никога няма да Ви поискаме снимка на документ за самоличност, освен ако няма реално съмнение, което не можем да решим по друг начин.

Срок за отговор. Отговаряме в рамките на един месец. Ако заявката е сложна, може да ни трябват до два допълнителни месеца, и ще Ви кажем, че това се случва, и защо — няма просто да замълчим. За нищо от това не се дължи такса.

Правото на жалба

Имате право да подадете жалба до надзорен орган за защита на данните по всяко време, независимо дали преди това сте се свързали с нас. В България това е:

Комисия за защита на личните данни (КЗЛД)
гр. София 1592, бул. „Проф. Цветан Лазаров“ № 2
Телефон: 02 915 3518
Имейл: kzld@cpdp.bg
Уебсайт: www.cpdp.bg

Ако живеете другаде в ЕС или ЕИП, можете да подадете жалба до съответния орган на своята държава вместо това — не сте длъжни да използвате българския само защото ние сме базирани тук. Имате право и да отнесете въпроса до съд, в допълнение към или вместо подаване на жалба.

Предпочитаме да Ви кажем ясно какво е и какво не е налично, вместо да оставим неясен израз като „сигурност по стандартите в индустрията“ да замести конкретика. Данните Ви се намират на три места — телефона Ви, връзката и сървъра — затова този раздел покрива и трите.

По връзката между телефона Ви и нас

• Всичко е криптирано при пренос, чрез HTTPS. Никой в Wi-Fi мрежата на кафенето, в мобилната Ви мрежа или където и да е между Вас и нас не може да прочете какво изпраща приложението Ви.
• Връзката се пренася от Cloudflare. Раздел 12 обяснява какво означава това за онова, което Cloudflare технически може да вижда, защото предпочитаме да го чуете от нас.

На нашия сървър

• Паролата Ви се хешира с argon2id. Това е алгоритъмът, препоръчван в момента точно за тази задача — умишлено бавен и изискващ много памет, така че масовото отгатване на пароли е скъпо дори за някой, който държи цялата база данни. Това е реално надграждане спрямо онова, което версия 1.0 на тази политика трябваше да признае: бърз хеш на телефона.
• Паролата Ви вече изобщо не се съхранява на телефона Ви, под никаква форма.
• Токените за вход се съхраняват само като еднопосочен хеш. Ако някой открадне базата данни, той няма да получи използваем ключ към нечий акаунт. Токените изтичат след 90 дни и се отнемат в момента, в който излезете от профила.
• Кодовете за възстановяване на паролата се съхраняват хеширани, изтичат за 15 минути, допускат пет опита и могат да се използват еднократно. Кодовете за потвърждение на имейла работят по същия начин, с 48 часа.
• Имейлите напускат сървъра ни по криптирана връзка към Resend. След доставянето имейлът е толкова поверителен, колкото пощенската Ви кутия, и не повече — като почти всеки имейл, той не е криптиран от край до край. Затова кодовете в тях изтичат бързо и работят само веднъж.
• Входът дава един и същ отговор при „няма такъв акаунт“ и при „грешна парола“, така че сървърът не може да бъде използван, за да се разбере дали даден човек има акаунт в Health Path.
• Ограничаване на заявките по всеки маршрут, който приема парола, броено едновременно по интернет адрес и по акаунт, така че бот не може да изпробва догадки от много машини.
• Сървърът няма отворен порт към интернет. Той прави изходяща връзка към Cloudflare и получава заявките по нея. Няма врата, чиято дръжка да бъде опитана.
• Базата данни се архивира, така че повреден диск не унищожава дневниците на всички.

На телефона Ви

• Пясъчникът (sandbox) на Android приложенията. Частното хранилище на всяко Android приложение е отделено от всяко друго приложение на телефона. Друго приложение не може да прочете данните на Health Path, без да наруши собствения модел за сигурност на Android — root достъп или пробив. Това е реална защита.
• Собственото резервно копиране на Android е изключено за това приложение (Раздел 7), така че записите Ви не се копират във Вашия Google акаунт.

Какво НЕ защитава данните Ви — казано направо, защото трябва да го знаете

• Записите Ви се съхраняват като обикновен четим текст в нашата база данни. Те не са криптирани с ключ, който само Вие държите. Не бихме могли да предложим синхронизация, търсене и работа на няколко устройства, ако бяха, и няма да намекваме за „криптиране от край до край“, каквото приложението няма. Всеки с администраторски достъп до тази машина би могъл да чете записи. Днес това е един човек: собственикът.
• Същото важи и на телефона Ви, в частното хранилище на приложението. Пясъчникът го защитава; втори слой криптиране — не.
• Root-нат телефон или телефон, споделян с хора, на които не се доверявате, е реален риск. Ако някой има физически достъп до отключения Ви телефон, той може да прочете дневника Ви, като просто отвори приложението.
• Сървърът е един компютър в дом в България, а не център за данни. Той има физическа защита не по-добра от тази на къща, няма охрана, няма резервна машина и не е извършван независим одит на сигурността или тест за проникване. Това е честното описание и ако се промени, ще променим и този ред.
• „Пробив в данните“ вече е възможен, докато преди не беше. Версия 1.0 на тази политика можеше да каже, че няма сървър, който да бъде хакнат. Сега има.

Ако някога има пробив

Ако узнаем, че данните Ви са били изложени — проникване, изгубено резервно копие, наша грешка, каквото и да е — тогава:

• уведомяваме българския надзорен орган (КЗЛД) в рамките на 72 часа от узнаването, както законът изисква;
• ако пробивът вероятно Ви излага на реален риск, казваме директно на Вас, без ненужно забавяне, на разбираем език: какво се е случило, какви данни са засегнати и какво да направите;
• няма да чакаме да ни попитат и няма да го наричаме „инцидент със сигурността“, за да звучи по-малко, отколкото е.

Тъй като данните тук са дневник за храна, настроение и образ на тялото, приемаме „вероятно Ви излага на реален риск“ за нисък праг. При съмнение ще Ви кажем.

Този раздел покрива https://healthpathapp.com, маркетинговия уебсайт — не самото приложение, което е покрито от всичко по-горе. Ако сте използвали само приложението и никога не сте посещавали уебсайта, този раздел не добавя нищо за Вас.

• Лог файлове на сървъра. Както при почти всеки уебсайт, обичайни лог файлове на уеб сървъра, които записват неща като IP адрес и час на заявката, може да бъдат създадени при посещението Ви. Не използваме аналитичен софтуер върху тези логове; броенето на преглеждания, описано по-долу, е нещо отделно.
• Бисквитки. Уебсайтът не задава никакви бисквитки.
• Анализ. Уебсайтът използва Cloudflare Web Analytics, за да брои преглежданията на страници. Той е без бисквитки: не запазва нищо на Вашето устройство, не Ви идентифицира и не може да Ви проследява до други уебсайтове. Виждаме само общи числа — колко страници са прегледани, кои страници, приблизително от коя държава и какъв вид устройство. Cloudflare, Inc. действа като наш обработващ за това, както вече го прави за хостинга на сайта; Раздел 13 обяснява какво означава това. Самото приложение не изпълнява никакъв анализ (Раздел 3).
• Шрифтове. Шрифтовете на уебсайта се обслужват от собствения ни хостинг, а не от сървърите на Google, така че посещението на сайта не изпраща Вашата информация до Google по този път. До 15 август 2026 г. сайтът ги зареждаше от Google на всяка страница, което изпращаше Вашия IP адрес до Google, преди да сте се съгласили с каквото и да било; премахнахме това сами, вместо да чакаме да ни бъде поискано.
• Изходящ линк към TikTok. Долният колонтитул съдържа линк към профил в TikTok. Този линк Ви отвежда към уебсайта на трета страна, която има собствени практики за поверителност и собствено проследяване, изцяло извън нашия контрол.
• Един формуляр. „Get launch news“ пита за собствено име и имейл адрес, за да можем да Ви пишем веднъж — в деня, в който приложението излезе. Той е напълно доброволен и нищо друго на сайта не зависи от него. Няма друг формуляр: нито за контакт, нито за бюлетин, нито за регистрация.
  • Какво правим с него: това едно съобщение и нищо друго. Не продаваме и не споделяме списъка и не изпращаме нищо междувременно.
  • Кой го съхранява: формулярът се обслужва от наша собствена точка в Cloudflare — компанията, която хоства и този уебсайт — а адресите се съхраняват в база данни в западноевропейския регион на Cloudflare. До 17 август 2026 г. формулярът се обслужваше от Formspree (Formspree Inc.) в САЩ; преместихме го, за да остава даденият тук адрес в ЕС. Cloudflare, Inc. е дружество със седалище в САЩ, което действа като наш обработващ, а това не е съвсем същото като „нищо не напуска ЕС“ — Раздел 13 казва открито какво означава и какво не. Какво изпраща самото приложение и накъде, е в Раздел 3.
  • Как да Ви премахнем от списъка: пишете на support@healthpathapp.com и Ви изтриваме от него. Съобщението при пускането ще съдържа линк за отписване.
  • На какво основание: Вашето съгласие (чл. 6, параграф 1, буква „а“ от ОРЗД), дадено с подаването на формуляра, а оттеглянето е също толкова лесно, колкото е било даването.

Cloudflare — единствената компания по средата

От септември 2026 г. между телефона Ви и нашия сървър има точно една компания и това е Cloudflare, Inc. Предпочитаме да го обясним както трябва, вместо да го изброим в таблица с „партньори“.

Какво прави за нас: дава на адреса на нашия API неговия HTTPS сертификат, поема атаките, насочени към сървъра, и пренася всяка заявка по изходящата връзка, която нашата машина прави към него. Той е причината сървърът да е достъпен от телефон, без от наша страна да е отворен и един порт. Cloudflare хоства и този уебсайт (Раздел 11), и списъка за записване при пускането.

Какво технически може да вижда: тъй като Cloudflare терминира HTTPS връзката, той обработва заявките в явен вид в периферията си, преди да ги предаде нататък. По принцип това означава, че съдържанието на една заявка за синхронизация минава през техните системи. Ролята на Cloudflare е на обработващ: той действа по наши указания, при собствените си условия за обработване на данни, няма право да използва данните Ви за свои цели и не получава копие от базата данни. Но „никой освен нас не може да го види“ би било пресилено, затова не го твърдим. Cloudflare пази и собствени логове на връзките, които включват Вашия IP адрес, съгласно собствената си политика за съхранение.

Къде се намира: Cloudflare, Inc. е със седалище в САЩ и оперира глобална мрежа. Раздел 13 се занимава с това какво означава това за напускането на ЕС от данните Ви.

Resend — имейлите за акаунта

Какво прави за нас: доставя трите вида имейли, изброени в Раздел 2 — код за възстановяване на паролата, код за потвърждение на адреса и предупреждение за неактивност. Нашият сървър предава всяко съобщение на Resend по криптирана връзка, а Resend го изпраща до пощенската Ви кутия от no-reply@healthpathapp.com. Не участва в нищо друго: не стои между телефона Ви и нашия сървър и никога не вижда синхронизация.

Какво получава: имейл адреса Ви, темата и съобщението. Съобщението съдържа кода или връзката за потвърждение, а при предупреждение за неактивност — показваното Ви име и датата, на която акаунтът би бил изтрит. Никога не получава записите Ви, дневника Ви, настроенията Ви, паролата Ви или каквото и да е друго от таблицата в Раздел 2.

Какво пази: запис за всяко съобщение — включително съдържанието му — за 30 дни, за да може да се провери съобщение, което не е пристигнало. След това го изтрива. Изтриването на акаунта Ви в Health Path не достига до този 30-дневен запис; той изтича сам.

Ролята ѝ: обработващ. Компанията е Plus Five Five, Inc., с търговско име Resend. Тя действа само по наши указания, съгласно допълнително споразумение за обработване на данни, което важи за всеки клиент на Resend като част от условията ѝ, и няма право да използва адреса Ви или съобщенията за свои цели. Проследяването на отваряния и на кликове е изключено за домейна, от който изпращаме, а не просто неизползвано — така Resend не научава дали сте отворили съобщение, нито дали сте последвали връзката в него. Resend използва собствени подизпълнители за доставката на пощата, в САЩ, а споразумението ѝ я задължава да ни предупреди поне 14 дни преди да добави или замени такъв; ако някой от тях някога има значение за написаното в тази политика, Раздел 14 казва как ще научите.

Къде се намира: Сан Франциско, САЩ. Домейнът, от който изпращаме, е настроен на региона eu-west-1 на Resend, така че самите съобщения тръгват от Ирландия — но тази настройка мести само изпращането и предпочитаме да го кажем, вместо да звучи като повече, отколкото е: 30-дневното копие, дневниците за доставка и данните за акаунта стоят в САЩ, независимо кой регион изпраща. Затова това е истински трансфер извън ЕС, за разлика от Cloudflare; Раздел 13 казва какво го защитава.

Google Play

Health Path все още не е налично в Google Play. След като бъде публикувано там, Google, като оператор на магазина, ще събира собствена информация като част от управлението на този магазин — например данни за Вашия Google акаунт, данни за плащане, ако някога закупите нещо през Google Play, и информация за устройството и приложението, която Google събира за собствените си нужди.

Това е собствено събиране на Google, по собствената политика за поверителност на Google — ние не го контролираме и не получаваме нищо от него. Ако искате да знаете какво самото Google Play събира за Вас като потребител на магазина, собствената политика за поверителност на Google е правилното място за проверка, не този документ.

Това е пълният списък: Cloudflare, Resend и Google Play. Няма аналитична компания, няма рекламна мрежа, няма доставчик за отчитане на сривове, няма услуга за имейл маркетинг и няма доставчик на облачно хранилище — записите Ви са на машина, която притежаваме, а не на наето място. Ако този списък някога се разрасне, този раздел е мястото, където ще го каже, а Раздел 14 казва как ще Ви уведомим.

Къде се съхраняват записите Ви: в ЕС. Сървърът е в България (Раздел 3), а списъкът за записване от сайта е в западноевропейския регион на Cloudflare (Раздел 11). Единственото нещо, което се пази извън ЕС/ЕИП, е имейлът: Resend държи копие от всеки имейл за акаунта, който Ви изпращаме, в САЩ, за 30 дни (вижте по-долу).

Къде е честно да се каже „сложно е“: Cloudflare. Cloudflare, Inc. е компания със седалище в САЩ и тя пренася всяка заявка между телефона Ви и нашия сървър. От това следват две неща и предпочитаме да напишем и двете, а не само удобното:

• Ние не избираме да изпращаме данните Ви в САЩ и те не се съхраняват там. Мрежата на Cloudflare насочва трафика през близки местоположения, което за потребител в Европа означава европейски.
• Но обработващ със седалище в САЩ, който обработва данни от ЕС, юридически е въпрос за трансфер, а не липса на такъв. Гаранцията, на която се разчита, са собствените стандартни условия за обработване на данни на Cloudflare, които включват Стандартните договорни клаузи на Европейската комисия, заедно с публикуваните допълнителни мерки. Cloudflare е сертифициран и по Рамката ЕС—САЩ за защита на данните (Data Privacy Framework).

Resend е истински трансфер и го казваме. Когато сървърът ни Ви изпрати имейл за акаунта, имейл адресът Ви и съобщението отиват при Resend, която го изпраща от Ирландия, но пази копието си — и дневника си за доставка — в САЩ за 30 дни. То е ограничено до изброеното в Раздел 12 — никога записите Ви. Гаранциите, на които се разчита, са:

• Resend е сертифицирана по Рамката ЕС—САЩ за защита на данните, за която Европейската комисия е приела, че осигурява адекватна защита на данните, изпращани до сертифицирани американски компании; и
• допълнителното ѝ споразумение за обработване на данни включва и Стандартните договорни клаузи на Европейската комисия, които се прилагат, ако тази рамка някога престане да бъде налична.

Ако това има голямо значение за Вас, честният съвет е, че приложение за дневник, поддържано от един човек, днес не може да Ви предложи мрежов път изцяло в рамките на ЕС, и трябва да го прецените, преди да пишете в него неща, които не бихте искали да пътуват.

Ако направим съществена промяна в тази политика — например добавяне на функция, която променя какви данни се събират, или изграждане на функцията за експорт, спомената в Раздел 9 — ще актуализираме този документ и датата в началото. За всяка промяна, която съществено засяга това, което правим с Вашите данни, ще Ви уведомим и в самото приложение, не само чрез тихо редактиране на уеб страница.

Версия 2.0 е точно такава промяна и е най-голямата, която тази политика някога ще направи: приложение, което не изпращаше нищо никъде, вече пази копие от записите Ви на сървър. Няма да третираме това като тиха редакция. Всеки, който използва Health Path в момента на влизане в сила на промяната, трябва да бъде уведомен в приложението, ясно, и попитан отново — защото съгласието, което е дал, беше за нещо друго. Версия 2.1 правеше това с въпрос първия път, когато се запазваше всеки вид здравна информация; от версия 2.2 — чрез отделно квадратче за отметка при регистрация (Раздел 4).

Версия 1.0 на тази политика нямаше нужда от този раздел: данните живееха на телефона Ви и траеха точно толкова, колкото Вие позволите. Сега, когато пазим копие, Ви дължим ясен отговор колко дълго го пазим — законът нарича това ограничение на съхранението и то означава, че нямаме право да пазим нещата вечно само защото мястото е евтино.

Правилото за 12 месеца, с прости думи

Ако не влезете в Health Path в продължение на 12 месеца, изтриваме акаунта Ви и всичко в него. Не го архивираме, не го деактивираме — изтриваме го, точно както ако бяхте натиснали бутона сами. Това не може да бъде отменено — нито от Вас, нито от нас.

Избрахме това умишлено и то е истински компромис:

• Защо го правим: най-поверителното нещо, което можем да направим с дневник за храна и образ на тялото, който никой вече не използва, е да го нямаме. Да пазим изоставен акаунт безсрочно означава да държим най-личното писане на един човек без причина, а всяка година, в която той стои там, е още една година, в която може да бъде изложен, ако нещо се обърка.
• Какво Ви струва: ако се отдръпнете от приложението за година — което хората, които се възстановяват от трудно отношение с храната, съвсем основателно правят — и се върнете, записите Ви ще ги няма. Едно влизане, по всяко време през годината, нулира брояча.
• Какво правим първо: предупреждаваме Ви. Около 11 месеца след последното Ви влизане изпращаме имейл на адреса на акаунта Ви и, ако все още не сте влезли, изпращаме отново около две седмици по-късно. Влизане след който и да е от двата имейла отменя изтриването и нулира брояча.
• Без предупреждение няма изтриване, нито изтриване до две седмици след него. Акаунт се изтрива по това правило само ако до него реално е изпратено предупреждение и само след като това предупреждение е на поне 14 дни. Ако имейлът не може да бъде изпратен, акаунтът се запазва и опитваме да изпратим предупреждението отново, вместо да изтрием без него. Тези две изречения са нашият ангажимент по въпроса и са заложени в кода, който изтрива, а не само тук.

Ако Health Path някога отново промени формата си

Ако бъде добавен платен абонамент, тази политика ще трябва да каже кой доставчик на платежни услуги обработва картата Ви и какво той, а не ние, съхранява. Ако към Раздел 12 бъде добавена нова компания или сървърът се премести, ще го кажем по реда на Раздел 14 преди това да се случи, а не след това.