Política de privadesa

El responsable en el sentit del Reglament General de Protecció de Dades (RGPD) és:

Gerent: Martin Schiftan · Registre mercantil: Amtsgericht Freiburg i. Br., HRB724192 · NIF-IVA: DE343662047

Per a consultes en matèria de protecció de dades (accés, supressió, rectificació, oposició) fes servir les dades de contacte esmentades més amunt o el formulari de contacte.

CarbCam és una app per a smartphone amb la qual els usuaris poden fer fotos d'àpats. L'app envia aquestes fotos per a l'anàlisi al backend de servidor de ns.10be.de. Allà la imatge es reenvia a una interfície d'IA externa triada per l'usuari o l'administrador del servidor (actualment compatibles: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). Les estimacions de valors nutricionals retornades (hidrats de carboni, greix, proteïna, UGP, índex glucèmic) s'entreguen a l'app i s'hi mostren.

CarbCam no requereix cap registre amb nom ni adreça de correu electrònic. Per vincular el dispositiu amb la quota/subscripció s'utilitza un ID d'instal·lació anònim (cadena hexadecimal de 24 caràcters), que es genera localment al primer inici de l'app i s'envia amb cada petició.

3.1 Dades recollides automàticament a cada petició

• ID d'instal·lació: cadena hexadecimal de 24 caràcters, generada localment al primer inici de l'app. No permet la traçabilitat cap a una persona física.
• Adreça IP: registrada pel servidor web en els registres estàndard (màx. 7 dies, després anonimitzada).
• User-Agent/versió de l'app: per a la comprovació de compatibilitat i l'anàlisi d'errors.
• Marca de temps i codi d'estat HTTP de la petició.

3.2 Continguts que sorgeixen de l'ús de l'app

• Foto de l'àpat (temporal): s'envia al servidor i des d'allà a la interfície d'IA. La imatge original no es desa de manera permanent després de l'anàlisi.
• Hash de la foto & miniatura reduïda: es desen a la memòria cau d'anàlisi un SHA-512 de la imatge i una miniatura molt reduïda, perquè les fotos idèntiques o similars es puguin respondre més ràpid i de manera més econòmica (aparellament per hash perceptual).
• Resultat de l'anàlisi: la resposta de la IA (noms d'aliments, mides de racions, valors nutricionals) es desa a la memòria cau juntament amb el hash.
• Esdeveniments d'anàlisi: per cada petició (tant l'escaneig de menjar com l'anàlisi del recorregut de glucèmia) es desa una fila amb l'ID d'instal·lació, la marca de temps, el proveïdor, el model i el tipus de coincidència de la memòria cau en una taula d'esdeveniments. Aquesta taula serveix per al recompte de la quota (el nombre d'anàlisis disponibles mensualment depèn de la tarifa triada; els escaneigs i les anàlisis de glucèmia compten conjuntament al límit mensual) i per a la prevenció del frau.
• Historial fotogràfic (opcional): les fotos reduïdes es poden associar, si l'usuari ho vol, a un historial fotogràfic personal mitjançant l'ID d'instal·lació, perquè l'usuari pugui recuperar el seu historial després de reinstal·lar l'app.
• Recordatori de restaurant basat en la ubicació (opcional, per defecte: desactivat): quan l'usuari activa aquesta funció als ajustos de l'app i concedeix a l'app el permís d'ubicació «Sempre» (permís d'Android ACCESS_BACKGROUND_LOCATION o iOS NSLocationAlwaysUsageDescription), l'app avalua la ubicació del dispositiu localment (interval de comprovació d'uns 15 minuts, exclusivament l'última posició coneguda: sense seguiment continu) per detectar quan l'usuari es queda més temps que el llindar configurat (10–90 minuts) dins d'un radi de 25 metres d'un restaurant. Abans de la primera sol·licitud de permís, l'app mostra un diàleg d'avís explícit amb la finalitat, el destinatari i la freqüència de la comprovació d'ubicació («divulgació prominent»). Per al reconeixement del restaurant, la posició s'envia quan cal a l'API d'Apple Maps (iOS, sense clau API) o a l'API de Google Places (Android, amb la nostra clau API de Maps), exclusivament per determinar el nom del restaurant a la rodalia. Les dades d'ubicació no surten del dispositiu cap als nostres servidors: ni la posició ni el nom del restaurant es desen o tracten a la nostra banda. La funció es pot desactivar en qualsevol moment amb el commutador dels ajustos; a més, el permís del sistema es pot revocar als ajustos del dispositiu.
• Comentaris: les valoracions i els comentaris que l'usuari fa sobre una anàlisi es vinculen amb l'ID d'instal·lació i l'entrada corresponent de la memòria cau.

3.3 Dades en el marc dels processos de pagament

• IDs de transacció de la botiga (Original Transaction ID d'Apple o Purchase Token de Google) per vincular la instal·lació amb la subscripció o la compra de crèdits bonus.
• Tarifa, estat, durada i períodes de contractació de la subscripció.
• Dades mestres rellevants per al pagament (nom, adreça, mitjà de pagament) es tracten exclusivament a Apple o Google i no en disposem.
• Factures / rebuts es faciliten al compte de la botiga corresponent (factures de l'Apple ID o historial de comandes de Google Play).

3.4 Opcional: Bring Your Own Key (BYOK)

• La clau API pròpia de l'usuari per a Anthropic/Google s'utilitza al servidor només per al reenviament a la IA i no es desa de manera permanent (només a la RAM durant la petició).
• Opcionalment es pot configurar una adreça de correu electrònic de contacte per a consultes de suport de BYOK.
• En les peticions BYOK (Bring Your Own Key), les dades d'ús no compten contra el contingent del paquet triat.

• Prestació de la funció principal (anàlisi de fotos, memòria cau, comentaris): art. 6, ap. 1, lletra b RGPD (execució del contracte o mesures precontractuals).
• Emmagatzematge a la memòria cau i millora de la qualitat (p. ex. aparellament per hash perceptual, correccions de l'administrador contra errors recurrents de la IA): art. 6, ap. 1, lletra f RGPD (interès legítim en una prestació eficient i econòmica del servei; l'interès de les persones afectades en una menor petjada d'imatge es preserva mitjançant l'ús de miniatures molt reduïdes i la supressió automàtica als 30 dies).
• Facturació i processament de pagaments: art. 6, ap. 1, lletra b RGPD i art. 6, ap. 1, lletra c RGPD (obligacions legals de conservació).
• Prevenció del frau i defensa contra l'abús (quota, límits de freqüència): art. 6, ap. 1, lletra f RGPD.
• Registres del servidor i seguretat: art. 6, ap. 1, lletra f RGPD.

No hi ha cap presa de decisions automatitzada en el sentit de l'art. 22 RGPD amb efecte jurídic per a les persones afectades. Les estimacions de valors nutricionals basades en IA són simples indicacions informatives i no prenen cap decisió en sentit jurídic.

Per a la prestació del servei, es transmeten dades als següents encarregats del tractament i tercers:

5.1 Anthropic PBC (Claude API)

Seu: San Francisco, CA, EUA. Les fotos i un prompt textual es transmeten per a l'anàlisi a l' API de Anthropic Claude. Anthropic està obligada contractualment a no utilitzar les dades transmeses amb finalitats d'entrenament (política de retenció zero per a clients de l'API). Base de la transferència: clàusules contractuals tipus de la UE (SCC). Política de privacitat: anthropic.com/privacy.

5.2 Google LLC (Gemini API, opcional)

Seu: Mountain View, CA, EUA. Opcionalment, l'administrador pot configurar el servidor de manera que les peticions es responguin a través de l'API de Google Gemini. En aquest cas, les fotos i el prompt es transmeten a Google. Base: clàusules contractuals tipus de la UE. Política de privacitat: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Seu: San Francisco, CA, EUA. Opcionalment, l'usuari (mitjançant els ajustos) o l'administrador poden enviar peticions a l' API d'OpenAI. En aquest cas, les fotos i el prompt es transmeten a OpenAI. Base: clàusules contractuals tipus de la UE. Política de privacitat: openai.com/policies.

5.4 Zhipu AI

Seu: Pequín, República Popular de la Xina. Opcionalment, l'usuari pot enviar peticions a l'API de Zhipu GLM. Important: segons el RGPD, la República Popular de la Xina es considera un tercer país no segur sense decisió d'adequació. L'ús d'aquest proveïdor es fa per elecció explícita de l'usuari i sota el seu propi risc; s'han subscrit clàusules contractuals tipus amb el proveïdor. Política de privacitat: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI Service)

Seu de la part contractant: Microsoft Ireland Operations Ltd., Dublín, Irlanda. Tractament de dades a les regions d'Azure de la UE. Base: marc contractual de Microsoft (DPA) i clàusules contractuals tipus de la UE, sempre que es transmetin dades a tercers països. Política de privacitat: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (processament de pagaments)

Les subscripcions i els crèdits bonus es facturen exclusivament a través de l'App Store (Apple Inc., Cupertino, EUA) o Google Play (Google LLC, Mountain View, EUA). En els processos de pagament, el nom, l'adreça, el mitjà de pagament i l'adreça de correu electrònic es transmeten directament a Apple o Google i no ens són facilitats. Polítiques de privacitat: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts & USDA FoodData Central

Per a una comprovació de qualitat addicional (comprovació creuada de refinament), el servidor pot fer, després d'una anàlisi amb IA, una comparació basada en text contra les bases de dades públiques d'Open Food Facts (França) i USDA FoodData Central (EUA). En aquest procés no es transmet cap foto, sinó únicament noms d'aliments com a consulta de text.

5.8 Allotjament i servidor

Els servidors de ns.10be.de es troben a Alemanya, Finlàndia i França. Les dades de CarbCam es tracten i es desen als servidors d'Alemanya.

• Memòria cau d'anàlisi (hash, miniatura, resposta de la IA): 90 dies, després supressió automàtica.
• Índex de hash perceptual (comprovació prèvia): 30 dies, després supressió automàtica.
• Memòria cau de l'anàlisi del recorregut de glucèmia: 30 dies, després supressió automàtica.
• Esdeveniments d'anàlisi (recompte de quota): com a mínim durant el període de facturació/quota actual, i més enllà de manera agregada amb finalitats estadístiques.
• Historial fotogràfic (opcional, vinculat a l'ID d'instal·lació): fins a la supressió per part de l'usuari o fins que es discontinuï el servei.
• Comentaris: fins al tractament per part de l'administrador, més un temps posterior raonable per al control de qualitat.
• Dades de subscripció/pagament: durant la durada de la relació contractual i més enllà per als terminis legals de conservació (per regla general, 10 anys segons el dret mercantil i fiscal).
• Registres del servidor web: màx. 7 dies, després anonimització automàtica.
• Clau BYOK: no es persisteix, només a la RAM durant la petició individual.

Segons el RGPD, tens en particular els drets següents:

• Accés (art. 15 RGPD) a les dades desades amb el teu ID d'instal·lació.
• Rectificació de dades incorrectes (art. 16 RGPD).
• Supressió (art. 17 RGPD), sempre que no hi hagi obligacions legals de conservació que s'hi oposin.
• Limitació del tractament: CarbCam no ofereix una limitació granular de finalitats de tractament individuals. Pots acceptar el tractament de dades en la seva totalitat o finalitzar el tractament de les teves dades esborrant l'app o reiniciant l'ID d'instal·lació.
• Portabilitat de les dades (art. 20 RGPD): les dades dels àpats (HC, valors nutricionals, marques de temps) es desen localment al dispositiu en una base de dades SQLite i es poden exportar com a CSV/JSON mitjançant la funció de l'app Settings → Dades → Exportar. Si l'usuari ha activat la sincronització opcional amb Nightscout i la seva instància de Nightscout està allotjada a NS10BE (Managed Nightscout), les notes d'àpats sincronitzades també formen part de les còpies de seguretat de la base de dades de Nightscout d'allà. Amb instàncies de Nightscout externes o sense sincronització amb Nightscout, no existeix cap còpia de seguretat de les dades dels àpats a la nostra banda del servidor. Les fotos no s'arxiven a la banda del servidor: activa als ajustos de l'app «Desar les fotos a la galeria» per conservar-ne còpies locals.
• Oposició als tractaments basats en interessos legítims (art. 21 RGPD).
• Reclamació davant d'una autoritat de control (art. 77 RGPD). És competent, per exemple, el delegat de protecció de dades i llibertat d'informació del land de Baden-Württemberg.

Per exercir els teus drets o per a qualsevol pregunta sobre protecció de dades pots contactar amb nosaltres en qualsevol moment a support@carbcam.app o mitjançant el formulari de contacte. En una sol·licitud de supressió sense inici de sessió cal indicar l'ID d'instal·lació de 24 caràcters, perquè es puguin assignar els registres afectats.

• La transmissió de dades entre l'app i el servidor es fa exclusivament a través d' HTTPS (TLS).
• L'accés als servidors està limitat al proveïdor i es fa a través d' SSH amb autenticació per clau pública.
• Les bases de dades no són accessibles directament des de fora.
• Les còpies de seguretat es creen xifrades i se sobreescriuen al cap de tres dies com a màxim, sempre que no estigui afectada la base de dades principal.
• Les claus BYOK es mantenen exclusivament a la memòria de treball durant la petició i mai no es persisteixen al disc ni es registren.

Com que CarbCam es troba en desenvolupament BETA actiu, aquesta política de privacitat es pot adaptar quan s'afegeixin noves funcions, canviïn els encarregats del tractament o els requisits legals ho facin necessari. La versió vigent en cada moment es pot consultar a carbcam.app/ca/privacy.html. Els canvis substancials es comuniquen a l'app o mitjançant el butlletí.