Andmekaitsetingimused

Vastutav töötleja isikuandmete kaitse üldmääruse (GDPR) tähenduses on:

Tegevjuht: Martin Schiftan · Äriregister: Freiburg i. Br. jaoskonnakohus, HRB724192 · KMKR nr: DE343662047

Andmekaitsealaste päringute jaoks (teave, kustutamine, parandamine, vastuväide) kasuta palun ülaltoodud kontaktandmeid või kontaktvormi.

CarbCam on nutitelefoni rakendus, millega kasutajad saavad teha fotosid söökidest. Rakendus saadab need fotod analüüsiks ns.10be.de serveri taustasüsteemi. Seal edastatakse pilt kasutaja või serveriadministraatori valitud välisele tehisintellekti liidesele (praegu toetatud: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). Tagastatud toiteväärtuse hinnangud (süsivesikud, rasv, valk, FPE, glükeemiline indeks) toimetatakse rakendusse ja kuvatakse seal.

CarbCam ei vaja registreerimist nime või e-posti aadressiga. Seadme ja kvoodi/tellimuse sidumiseks kasutatakse anonüümset paigalduse ID-d (24-kohaline heksstring), mis genereeritakse rakenduse esmakäivitusel kohalikult ja saadetakse iga päringuga kaasa.

3.1 Automaatselt kogutavad andmed iga päringu korral

• Paigalduse ID: 24-kohaline heksstring, genereeritud rakenduse esmakäivitusel kohalikult. Füüsilise isikuga ei ole seostatav.
• IP-aadress: veebiserveri poolt standardlogides talletatud (kuni 7 päeva, seejärel anonüümitud).
• Kasutaja-agent/rakenduse versioon: ühilduvuse kontrolliks ja veaanalüüsiks.
• Ajatempel ja päringu HTTP olekukood.

3.2 Sisu, mis tekib rakenduse kasutamisel

• Söögi foto (ajutine): saadetakse serverisse ja sealt tehisintellekti liidesele. Originaalpilti pärast analüüsi ei salvestata püsivalt.
• Foto räsi & vähendatud eelvaatepilt: pildi SHA-512 ja tugevalt vähendatud pisipilt salvestatakse analüüsi vahemällu, et identsetele või sarnastele fotodele saaks kiiremini ja odavamalt vastata (tajuräsi põhine sobitamine).
• Analüüsi tulemus: tehisintellekti vastus (toiduainete nimed, portsjonisuurused, toiteväärtused) salvestatakse koos räsiga vahemällu.
• Analüüsündmused: iga päringu kohta (nii toiduskänn kui veresuhkru kulu analüüs) salvestatakse rida paigalduse ID, ajatempli, pakkuja, mudeli ja vahemälu tabamuse tüübiga sündmuste tabelis. See tabel on mõeldud kvoodi loendamiseks (kuus saadaolevate analüüside arv sõltub valitud tariifist; skännid ja veresuhkru analüüsid loevad koos kuulimiiti) ja pettuse ennetamiseks.
• Fotoajalugu (valikuline): vähendatud fotod saab kasutaja soovil paigalduse ID kaudu siduda isikliku fotoajalooga, et kasutaja saaks pärast rakenduse uuesti paigaldamist oma ajaloo taas kätte.
• Asukohapõhine restorani meeldetuletus (valikuline, vaikimisi: väljas): Kui kasutaja aktiveerib selle funktsiooni rakenduse sätetes ja annab rakendusele asukohaloa „Alati“ (Androidi luba ACCESS_BACKGROUND_LOCATION või iOS NSLocationAlwaysUsageDescription), hindab rakendus seadme asukohta kohalikult (kontrolliintervall u 15 minutit, üksnes viimane teadaolev asukoht: pidevat jälgimist ei toimu), et tuvastada, kui kasutaja viibib kauem kui seatud läviväärtus (10–90 minutit) restorani 25 meetri raadiuses. Enne esimest loapäringut näitab rakendus selgesõnalist teavitusdialoogi asukohakontrolli eesmärgi, vastuvõtja ja sagedusega („prominentne avaldus“). Restorani tuvastamiseks saadetakse asukoht vajadusel Apple Mapsi API-le (iOS, ilma API-võtmeta) või Google Placesi API-le (Android, meie Mapsi API-võtmega), üksnes selleks, et teha kindlaks ümbruskonnas oleva restorani nimi. Asukohaandmed ei lahku seadmest meie serverite suunas: ei asukohta ega restorani nime meie juures ei salvestata ega töödelda. Funktsiooni saab igal ajal sätete lüliti kaudu välja lülitada; süsteemiloa saab lisaks tühistada seadme sätetes.
• Tagasiside: hinnangud ja kommentaarid, mille kasutaja analüüsi kohta annab, seotakse paigalduse ID ja vastava vahemälukirjega.

3.3 Andmed maksetehingute raames

• Poe tehingu ID-d (Apple'i algne tehingu ID või Google'i ostutunnus) paigalduse sidumiseks tellimuse või boonuskrediidi ostuga.
• Tellimuse tariif, olek, kestus ja broneerimisperioodid.
• Makset puudutavad põhiandmed (nimi, aadress, maksevahend) töödeldakse üksnes Apple'i või Google'i juures ega ole meile teada.
• Arved / kviitungid tehakse kättesaadavaks vastavas poe kontos (Apple ID arved või Google Play tellimuste ajalugu).

3.4 Valikuline: Bring Your Own Key (BYOK)

• Kasutaja oma API-võtit Anthropicu/Google'i jaoks kasutatakse serveris ainult tehisintellektile edastamiseks ja seda ei salvestata püsivalt (ainult mälus päringu kestuse ajaks).
• Valikuliselt saab hoiustada kontakti e-posti aadressi BYOK-tugipäringute jaoks.
• BYOK-päringute (Bring-Your-Own-Key) puhul ei arvestata kasutusandmeid valitud paketi kvoodile.

• Põhifunktsiooni osutamine (fotoanalüüs, vahemälu, tagasiside): GDPR artikkel 6 lõige 1 punkt b (lepingu täitmine või lepingueelsed meetmed).
• Vahemällu salvestamine ja kvaliteedi parandamine (nt tajuräsi põhine sobitamine, administraatori parandused korduvate tehisintellekti vigade vastu): GDPR artikkel 6 lõige 1 punkt f (õigustatud huvi teenuse tõhusa ja kulusäästliku osutamise vastu; puudutatud isikute huvi väiksema pildijälje vastu on tagatud tugevalt vähendatud eelvaatepiltide kasutamise ja automaatse 30-päevase kustutamisega).
• Arveldus ja maksete töötlemine: GDPR artikkel 6 lõige 1 punkt b ja GDPR artikkel 6 lõige 1 punkt c (seaduslikud säilitamiskohustused).
• Pettuse ennetamine ja väärkasutuse tõrjumine (kvoot, kiiruse piirangud): GDPR artikkel 6 lõige 1 punkt f.
• Serveri logid ja turvalisus: GDPR artikkel 6 lõige 1 punkt f.

Automatiseeritud otsuste tegemist GDPR artikli 22 tähenduses, millel on puudutatud isikutele õiguslik mõju, ei toimu. Tehisintellektil põhinevad toiteväärtuse hinnangud on puhtalt teabeandmed ega tee otsuseid õiguslikus mõttes.

Teenuse osutamiseks edastatakse andmed järgmistele volitatud töötlejatele ja kolmandatele isikutele:

5.1 Anthropic PBC (Claude API)

Asukoht: San Francisco, CA, USA. Fotod ja tekstiviip edastatakse analüüsiks Anthropic Claude API-le. Anthropic on lepinguliselt kohustatud mitte kasutama edastatud andmeid treenimiseks (null-säilituse poliitika API-klientide jaoks). Edastamise alus: EL-i standardsed lepingutingimused (SCC). Privaatsuspoliitika: anthropic.com/privacy.

5.2 Google LLC (Gemini API, valikuline)

Asukoht: Mountain View, CA, USA. Valikuliselt saab administraator serveri seadistada nii, et päringutele vastatakse Google Gemini API kaudu. Sel juhul edastatakse fotod ja viip Google'ile. Alus: EL-i standardsed lepingutingimused. Privaatsuspoliitika: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Asukoht: San Francisco, CA, USA. Valikuliselt saab kasutaja (sätete kaudu) või administraator saata päringuid OpenAI API-le. Sel juhul edastatakse fotod ja viip OpenAI-le. Alus: EL-i standardsed lepingutingimused. Privaatsuspoliitika: openai.com/policies.

5.4 Zhipu AI

Asukoht: Peking, Hiina Rahvavabariik. Valikuliselt saab kasutaja saata päringuid Zhipu GLM API-le. Tähtis: Hiina Rahvavabariik loetakse GDPR-i järgi ebaturvaliseks kolmandaks riigiks ilma kaitse piisavuse otsuseta. Selle pakkuja kasutamine toimub kasutaja selgesõnalisel valikul ja omal riisikol; pakkujaga on sõlmitud standardsed lepingutingimused. Privaatsuspoliitika: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI Service)

Lepingupoole asukoht: Microsoft Ireland Operations Ltd., Dublin, Iirimaa. Andmetöötlus Azure'i EL-i piirkondades. Alus: Microsofti lepingudokumendid (DPA) ja EL-i standardsed lepingutingimused, kui andmeid edastatakse kolmandatesse riikidesse. Privaatsuspoliitika: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (maksete töötlemine)

Tellimusi ja boonuskrediite arveldatakse üksnes App Store'i (Apple Inc., Cupertino, USA) või Google Play (Google LLC, Mountain View, USA) kaudu. Maksetehingute korral edastatakse nimi, aadress, maksevahend ja e-posti aadress otse Apple'ile või Google'ile ega anta meile edasi. Privaatsuspoliitikad: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts & USDA FoodData Central

Täiendavaks kvaliteedikontrolliks (täpsustav ristkontroll) võib server pärast tehisintellekti analüüsi teha tekstipõhise võrdluse avalike Open Food Factsi (Prantsusmaa) ja USDA FoodData Centrali (USA) andmebaaside vastu. Seejuures ei edastata fotosid, vaid ainult toiduainete nimed tekstipäringuna.

5.8 Hostimine ja server

ns.10be.de serverid asuvad Saksamaal, Soomes ja Prantsusmaal. CarbCami andmeid töödeldakse ja salvestatakse Saksamaa serverites.

• Analüüsi vahemälu (räsi, pisipilt, tehisintellekti vastus): 90 päeva, seejärel automaatne kustutamine.
• Tajuräsi indeks (eelkontroll): 30 päeva, seejärel automaatne kustutamine.
• Veresuhkru kulu analüüsi vahemälu: 30 päeva, seejärel automaatne kustutamine.
• Analüüsündmused (kvoodi loendamine): vähemalt praeguse arveldus-/kvoodiperioodi jooksul, sellest kaugemale koondatult statistika eesmärgil.
• Fotoajalugu (valikuline, seotud paigalduse ID-ga): kuni kasutaja kustutab või kuni teenus lõpetatakse.
• Tagasiside: kuni administraatori töötluseni, lisaks mõistlik järelaeg kvaliteedikontrolliks.
• Tellimuse/makseandmed: lepingusuhte kestuse jooksul ja sellest kaugemale seaduslike säilitustähtaegade jaoks (reeglina 10 aastat kaubandus- ja maksuõiguse järgi).
• Veebiserveri logid: kuni 7 päeva, seejärel automaatne anonüümimine.
• BYOK-võti: ei säilitata, ainult mälus üksiku päringu kestuse ajaks.

GDPR-i järgi on sul eelkõige järgmised õigused:

• Teave (GDPR artikkel 15) sinu paigalduse ID kohta salvestatud andmete kohta.
• Parandamine ebaõigete andmete puhul (GDPR artikkel 16).
• Kustutamine (GDPR artikkel 17), kui seaduslikud säilitamiskohustused seda ei takista.
• Töötlemise piiramine: CarbCam ei paku üksikute töötlemiseesmärkide granulaarset piiramist. Saad andmetöötluse kas täies ulatuses aktsepteerida või lõpetada oma andmed rakenduse kustutamise või paigalduse ID lähtestamisega.
• Andmete ülekantavus (GDPR artikkel 20): söögiandmeid (SV, toiteväärtused, ajatempel) salvestatakse kohalikult seadmes SQLite-andmebaasis ja neid saab eksportida rakenduse funktsiooni Settings → Andmed → Eksport kaudu CSV/JSON-ina. Kui kasutaja on aktiveerinud valikulise Nightscouti sünkroonimise ja tema Nightscouti eksemplar on hostitud NS10BE (Managed Nightscout) juures, on sünkroonitud söögimärkmed lisaks osa sealsetest Nightscouti andmebaasi varukoopiatest. Väliste Nightscouti eksemplaride puhul või ilma Nightscouti sünkroonimiseta ei ole meie juures söögiandmete serveripoolset varukoopiat. Fotosid ei arhiveerita serveripoolselt: aktiveeri rakenduse sätetes «Salvesta fotod galeriisse», et säilitada kohalikke koopiaid.
• Vastuväide õigustatud huvidel põhinevatele töötlustele (GDPR artikkel 21).
• Kaebus järelevalveasutusele (GDPR artikkel 77). Pädev on nt Baden-Württembergi liidumaa andmekaitse ja teabevabaduse volinik.

Oma õiguste teostamiseks või andmekaitsealaste küsimuste korral saad meiega igal ajal ühendust võtta aadressil support@carbcam.app või kontaktvormi kaudu. Kustutamispäringu puhul ilma sisselogimiseta tuleb esitada 24-kohaline paigalduse ID, et puudutatud andmestikke saaks seostada.

• Andmeedastus rakenduse ja serveri vahel toimub üksnes HTTPS (TLS) kaudu.
• Juurdepääs serveritele on piiratud pakkujaga ja toimub SSH kaudu avaliku võtme autentimisega.
• Andmebaasid ei ole väljastpoolt otse kättesaadavad.
• Varukoopiad tehakse krüpteeritult ja kirjutatakse üle maksimaalselt kolme päeva pärast, kui see ei puuduta põhiandmebaasi.
• BYOK-võtmeid hoitakse üksnes mälus päringu kestuse ajaks ega salvestata kunagi kettale ega logisse.

Kuna CarbCam on aktiivses BEETA-arenduses, võidakse seda privaatsuspoliitikat kohandada, kui lisandub uusi funktsioone, muutuvad volitatud töötlejad või õiguslikud nõuded seda tingivad. Hetkel kehtiv versioon on saadaval aadressil carbcam.app/et/privacy.html. Olulistest muudatustest teavitatakse rakenduses või uudiskirja kaudu.