CarbCam: zásady ochrany osobních údajů

Správcem ve smyslu obecného nařízení o ochraně osobních údajů (GDPR) je:

Jednatel: Martin Schiftan · Obchodní rejstřík: Amtsgericht Freiburg i. Br., HRB724192 · DIČ: DE343662047

Pro dotazy ohledně ochrany osobních údajů (přístup, výmaz, oprava, námitka) použijte prosím výše uvedené kontaktní údaje nebo kontaktní formulář.

CarbCam je aplikace pro chytré telefony, která uživatelům umožňuje fotografovat jídla. Aplikace tyto fotografie odesílá k analýze na serverový backend ns.10be.de, který obrázek předává externímu rozhraní AI zvolenému uživatelem nebo administrátorem serveru (aktuálně podporováno: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). Vrácené odhady nutričních hodnot (sacharidy, tuky, bílkoviny, FPU, glykemický index) se doručí do aplikace a tam se zobrazí.

CarbCam nevyžaduje registraci jménem ani e-mailovou adresou. Pro propojení zařízení s kvótou/předplatným se při prvním spuštění aplikace lokálně vygeneruje anonymní ID instalace (24místný hexadecimální řetězec) a odesílá se s každým požadavkem.

3.1 Data shromažďovaná automaticky při každém požadavku

• ID instalace: 24místný hexadecimální řetězec, vygenerovaný lokálně při prvním spuštění aplikace. Nelze vysledovat ke konkrétní fyzické osobě.
• IP adresa: zaznamenává ji webový server ve standardních protokolech (max. 7 dní, poté anonymizace).
• User agent / verze aplikace: pro kontrolu kompatibility a analýzu chyb.
• Časové razítko a HTTP stavový kód požadavku.

3.2 Obsah vzniklý používáním aplikace

• Fotografie jídla (dočasně): odesílá se na server a odtud do rozhraní AI. Originální obrázek se po analýze trvale neukládá.
• Hash fotografie a zmenšený náhled: hash SHA-512 obrázku a výrazně zmenšený náhled se ukládají do mezipaměti analýz, aby bylo možné identické nebo podobné fotografie zodpovědět rychleji a levněji (porovnávání perceptuálního hashe).
• Výsledek analýzy: odpověď AI (názvy potravin, velikosti porcí, nutriční hodnoty) se ukládá do mezipaměti spolu s hashem.
• Události analýz: pro každý požadavek (jak sken jídla, tak analýza trendu BG) se do tabulky událostí ukládá řádek obsahující ID instalace, časové razítko, poskytovatele, model a typ shody v mezipaměti. Tato tabulka slouží k počítání kvóty (počet dostupných analýz za měsíc závisí na zvoleném tarifu, do měsíčního limitu se počítají skeny i analýzy BG) a k prevenci zneužití.
• Historie fotografií (volitelné): zmenšené fotografie mohou být na žádost uživatele propojeny s osobní historií fotografií přes ID instalace, aby uživatel mohl svou historii vyvolat i po přeinstalování aplikace.
• Připomenutí v restauraci na základě polohy (volitelné, ve výchozím stavu vypnuté): Když uživatel tuto funkci zapne v nastavení aplikace a udělí aplikaci oprávnění k poloze „Vždy“ (Android ACCESS_BACKGROUND_LOCATION nebo iOS NSLocationAlwaysUsageDescription), aplikace vyhodnocuje polohu zařízení lokálně (interval kontroly přibližně 15 minut, pouze poslední známá poloha, žádné nepřetržité sledování), aby zjistila, kdy uživatel zůstane v okruhu 25 m od restaurace déle, než je nastavená hranice (10-90 minut). Před prvním výzvou k udělení oprávnění aplikace zobrazí výslovné a viditelné informační okno o účelu, příjemci a četnosti kontroly polohy. Pro identifikaci restaurace se poloha na vyžádání odesílá k Apple Maps API (iOS, bez API klíče) nebo k Google Places API (Android, s naším API klíčem pro mapy), výhradně za účelem zjištění názvu blízké restaurace. Data o poloze neopouštějí zařízení směrem k našim serverům: ani poloha, ani název restaurace se u nás neukládají ani nezpracovávají. Funkci lze kdykoli vypnout přepínačem v nastavení, systémové oprávnění lze navíc odebrat v nastavení zařízení.
• Zpětná vazba: hodnocení a komentáře, které uživatel k analýze odešle, jsou propojeny s ID instalace a příslušnou položkou mezipaměti.

3.3 Data související s platebními transakcemi

• ID transakcí obchodu (Apple Original Transaction ID nebo Google Purchase Token) k propojení instalace s předplatným nebo nákupem bonusových kreditů.
• Tarif, stav, doba trvání a fakturační období předplatného.
• Osobní údaje související s platbou (jméno, adresa, způsob platby) zpracovává výhradně Apple nebo Google a nejsou nám dostupné.
• Faktury / doklady jsou k dispozici v příslušném účtu obchodu (faktury Apple ID nebo historie objednávek Google Play).

3.4 Volitelně: vlastní API klíč (BYOK)

• Vlastní API klíč uživatele pro Anthropic/Google se na serveru používá pouze k předání do AI a trvale se neukládá (drží se v paměti RAM pouze po dobu trvání požadavku).
• Volitelně lze uložit kontaktní e-mailovou adresu pro dotazy k podpoře BYOK.
• U požadavků BYOK (vlastní API klíč) se využití nepočítá do kvóty zvoleného balíčku.

• Poskytování základní funkčnosti (analýza fotografií, mezipaměť, zpětná vazba): čl. 6 odst. 1 písm. b) GDPR (plnění smlouvy nebo předsmluvní opatření).
• Ukládání do mezipaměti a zlepšování kvality (např. porovnávání perceptuálního hashe, opravy administrátorem u opakujících se chyb AI): čl. 6 odst. 1 písm. f) GDPR (oprávněný zájem na efektivním a nákladově výhodném poskytování služby; zájem subjektů údajů na menší datové stopě je chráněn použitím výrazně zmenšených náhledů a automatickým výmazem po 30 dnech).
• Fakturace a zpracování plateb: čl. 6 odst. 1 písm. b) GDPR a čl. 6 odst. 1 písm. c) GDPR (zákonné povinnosti uchovávání).
• Prevence podvodů a zneužití (kvóta, omezení frekvence): čl. 6 odst. 1 písm. f) GDPR.
• Serverové protokoly a bezpečnost: čl. 6 odst. 1 písm. f) GDPR.

K žádnému automatizovanému rozhodování ve smyslu čl. 22 GDPR s právními účinky na subjekty údajů nedochází. Nutriční odhady založené na AI jsou čistě informativní a nepředstavují rozhodnutí v právním smyslu.

K poskytování služby se data předávají těmto zpracovatelům a třetím stranám:

5.1 Anthropic PBC (Claude API)

Sídlo: San Francisco, CA, USA. Fotografie a textový prompt se přenášejí do Anthropic Claude API k analýze. Anthropic je smluvně zavázán nepoužívat přenesená data k tréninkovým účelům (zásada nulového uchovávání pro zákazníky API). Základ pro přenos: standardní smluvní doložky EU (SCC). Zásady ochrany osobních údajů: anthropic.com/privacy.

5.2 Google LLC (Gemini API, volitelné)

Sídlo: Mountain View, CA, USA. Administrátor může volitelně nastavit server tak, aby požadavky zpracovával přes Google Gemini API. V takovém případě se fotografie a prompt přenášejí do Google. Základ: standardní smluvní doložky EU. Zásady ochrany osobních údajů: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Sídlo: San Francisco, CA, USA. Uživatel (přes nastavení) nebo administrátor mohou volitelně odesílat požadavky do OpenAI API. V takovém případě se fotografie a prompt přenášejí do OpenAI. Základ: standardní smluvní doložky EU. Zásady ochrany osobních údajů: openai.com/policies.

5.4 Zhipu AI

Sídlo: Peking, Čínská lidová republika. Uživatel může volitelně odesílat požadavky do Zhipu GLM API. Důležité: Čínská lidová republika je podle GDPR bez rozhodnutí o odpovídající ochraně považována za nebezpečnou třetí zemi. Použití tohoto poskytovatele je na výslovné volbě a vlastní riziko uživatele; s poskytovatelem byly uzavřeny standardní smluvní doložky. Zásady ochrany osobních údajů: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI Service)

Smluvní partner: Microsoft Ireland Operations Ltd., Dublin, Irsko. Zpracování dat v regionech Azure EU. Základ: smluvní rámec Microsoft (DPA) a standardní smluvní doložky EU tam, kde jsou data přenášena do třetích zemí. Zásady ochrany osobních údajů: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (zpracování plateb)

Předplatné a bonusové kredity se účtují výhradně přes App Store (Apple Inc., Cupertino, USA) nebo Google Play (Google LLC, Mountain View, USA). Při platebních transakcích se jméno, adresa, způsob platby a e-mailová adresa přenášejí přímo k Apple nebo Google a nám nejsou zpřístupněny. Zásady ochrany osobních údajů: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts a USDA FoodData Central

Pro dodatečnou kontrolu kvality (upřesňující porovnání) může server po analýze AI provést textové porovnání s veřejnými databázemi Open Food Facts (Francie) a USDA FoodData Central (USA). Fotografie se nepřenášejí, jako textový dotaz se odesílají pouze názvy potravin.

5.8 Hosting a servery

Servery ns.10be.de se nacházejí v Německu, Finsku a Francii. Data CarbCam se zpracovávají a ukládají na serverech v Německu.

• Mezipaměť analýz (hash, náhled, odpověď AI): 90 dní, poté automatický výmaz.
• Index perceptuálního hashe (předkontrola): 30 dní, poté automatický výmaz.
• Mezipaměť analýzy trendu BG: 30 dní, poté automatický výmaz.
• Události analýz (počítání kvóty): minimálně po dobu aktuálního fakturačního/kvótového období, nad rámec toho agregovaně pro statistické účely.
• Historie fotografií (volitelné, propojené s ID instalace): dokud ji uživatel nesmaže, nebo dokud se služba neukončí.
• Zpětná vazba: do zpracování administrátorem plus přiměřená doba pro následnou kontrolu kvality.
• Data o předplatném/platbách: po dobu trvání smluvního vztahu a nad rámec toho po zákonné doby uchování (zpravidla 10 let podle obchodního a daňového práva).
• Protokoly webového serveru: max. 7 dní, poté automatická anonymizace.
• Klíč BYOK: trvale se neukládá, drží se v paměti RAM pouze po dobu jednotlivého požadavku.

Podle GDPR máte zejména tato práva:

• Přístup (čl. 15 GDPR) k datům uloženým ve vztahu k vašemu ID instalace.
• Oprava nepřesných údajů (čl. 16 GDPR).
• Výmaz (čl. 17 GDPR), pokud se neuplatní zákonné povinnosti uchovávání.
• Omezení zpracování: CarbCam nenabízí granulární omezení jednotlivých účelů zpracování. Zpracování dat můžete buď v plném rozsahu akceptovat, nebo je ukončit smazáním aplikace nebo resetováním svého ID instalace.
• Přenositelnost údajů (čl. 20 GDPR): Data o jídlech (sacharidy, nutriční hodnoty, časová razítka) se ukládají lokálně v zařízení v databázi SQLite a lze je exportovat jako CSV/JSON přes funkci aplikace Nastavení → Data → Export. Pokud uživatel povolil volitelnou synchronizaci s Nightscoutem a jeho instance Nightscoutu je hostována u NS10BE (spravovaný Nightscout), jsou synchronizované poznámky o jídlech navíc součástí tamních záloh databáze Nightscoutu. U externích instancí Nightscoutu nebo bez synchronizace s Nightscoutem u nás neexistuje žádná záložní kopie dat o jídlech na straně serveru. Fotografie se na serveru neuchovávají: pro ponechání lokálních kopií zapněte v nastavení aplikace «Ukládat fotografie do galerie».
• Námitka proti zpracování založenému na oprávněných zájmech (čl. 21 GDPR).
• Stížnost u dozorového úřadu (čl. 77 GDPR). Příslušným úřadem je například Zemský pověřenec pro ochranu osobních údajů a svobodu informací spolkové země Bádensko-Württembersko.

Chcete-li uplatnit svá práva nebo máte-li dotazy ohledně ochrany osobních údajů, můžete nás kdykoli kontaktovat na support@carbcam.app nebo přes kontaktní formulář. Pro žádost o výmaz bez přihlášení uveďte prosím 24místné ID instalace, aby bylo možné identifikovat příslušné záznamy dat.

• Přenos dat mezi aplikací a serverem probíhá výhradně přes HTTPS (TLS).
• Přístup k serverům je omezen na poskytovatele a je zajištěn přes SSH s autentizací veřejným klíčem.
• Databáze nejsou přímo přístupné zvenčí.
• Zálohy se vytváří v zašifrované podobě a přepisují se nejpozději po třech dnech, pokud není dotčena hlavní databáze.
• Klíče BYOK se drží výhradně v paměti po dobu požadavku a nikdy se neukládají na disk ani do protokolů.

Jelikož CarbCam je aktivně vyvíjen ve fázi BETA, mohou být tyto zásady ochrany osobních údajů aktualizovány při přidání nových funkcí, změně zpracovatelů nebo pokud si to vyžádají právní požadavky. Aktuální verze je vždy dostupná na carbcam.app/cs/privacy.html. Podstatné změny budou oznámeny v aplikaci nebo prostřednictvím newsletteru.