CarbCam: политика конфиденциальности

Контролером по смыслу Общего регламента по защите данных (GDPR) является:

Управляющий директор: Martin Schiftan · Коммерческий реестр: Amtsgericht Freiburg i. Br., HRB724192 · НДС ID: DE343662047

По вопросам защиты данных (доступ, удаление, исправление, возражение) пожалуйста, используйте контактные данные выше или форму контактов.

CarbCam: это приложение для смартфонов, позволяющее пользователям фотографировать приемы пищи. Приложение отправляет эти фотографии для анализа на серверный бэкенд ns.10be.de, который пересылает изображение внешнему интерфейсу ИИ, выбранному пользователем или администратором сервера (в настоящее время поддерживаются: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). Возвращенные оценки пищевой ценности (углеводы, жиры, белки, FPU, гликемический индекс) передаются в приложение и отображаются в нем.

CarbCam не требует регистрации с именем или адресом электронной почты. Для привязки устройства к квоте/подписке анонимный идентификатор установки (24-символьная шестнадцатеричная строка) генерируется локально при первом запуске приложения и отправляется с каждым запросом.

3.1 Данные, автоматически собираемые при каждом запросе

• Идентификатор установки: 24-символьная шестнадцатеричная строка, генерируемая локально при первом запуске приложения. Не позволяет идентифицировать физическое лицо.
• IP-адрес: записывается веб-сервером в стандартных журналах (макс. 7 дней, затем анонимизируется).
• User agent/версия приложения: для проверки совместимости и анализа ошибок.
• Временная метка и код статуса HTTP запроса.

3.2 Контент, создаваемый при использовании приложения

• Фотография блюда (временно): отправляется на сервер и оттуда в интерфейс ИИ. Оригинальное изображение не хранится постоянно после анализа.
• Хеш фотографии и уменьшенная миниатюра: хеш SHA-512 изображения и сильно уменьшенная миниатюра хранятся в кеше анализа, чтобы идентичные или похожие фотографии могли обрабатываться быстрее и экономнее (сопоставление перцептивных хешей).
• Результат анализа: ответ ИИ (названия продуктов, размеры порций, значения пищевой ценности) хранится в кеше вместе с хешем.
• События анализа: для каждого запроса (сканирование еды, а также анализ тренда сахара крови) в таблице событий хранится строка, содержащая идентификатор установки, временную метку, провайдера, модель и тип попадания в кеш. Эта таблица используется для учета квоты (количество доступных анализов в месяц зависит от выбранного тарифа; сканирования и анализы сахара крови засчитываются в месячный лимит) и предотвращения мошенничества.
• История фото (опционально): уменьшенные фотографии могут, по запросу пользователя, быть связаны с персональной историей фото через идентификатор установки, чтобы пользователь мог получить свою историю после переустановки приложения.
• Напоминание в ресторане на основе местоположения (опционально, по умолчанию выключено): когда пользователь включает эту функцию в настройках приложения и предоставляет приложению разрешение на местоположение «Всегда» (Android ACCESS_BACKGROUND_LOCATION или iOS NSLocationAlwaysUsageDescription), приложение оценивает местоположение устройства локально (интервал проверки примерно 15 минут, только последняя известная позиция, без непрерывного отслеживания), чтобы определить, когда пользователь находится в радиусе 25 м от ресторана дольше настроенного порога (10–90 минут). Перед первым запросом разрешения приложение показывает явный заметный диалог с раскрытием цели, получателя и частоты проверки местоположения. Для определения ресторана позиция при необходимости отправляется в Apple Maps API (iOS, без API-ключа) или Google Places API (Android, с использованием нашего ключа Maps API), исключительно для определения названия ближайшего ресторана. Данные о местоположении не покидают устройство в сторону наших серверов, ни позиция, ни название ресторана не сохраняются и не обрабатываются нами. Функцию можно отключить в любое время через переключатель в настройках; системное разрешение также можно отозвать в настройках устройства.
• Обратная связь: оценки и комментарии, отправленные пользователем для анализа, связываются с идентификатором установки и соответствующей записью кеша.

3.3 Данные, связанные с платежными транзакциями

• ID транзакций магазина (Apple Original Transaction ID или Google Purchase Token) для привязки установки к покупке подписки или бонусных кредитов.
• Тариф, статус, срок и расчетные периоды подписки.
• Персональные данные, связанные с платежом (имя, адрес, способ оплаты), обрабатываются исключительно Apple или Google и недоступны нам.
• Счета / чеки предоставляются в соответствующем аккаунте магазина (счета Apple ID или история заказов Google Play).

3.4 Опционально: собственный ключ (BYOK)

• Собственный API-ключ пользователя для Anthropic/Google используется на сервере только для пересылки в ИИ и не хранится постоянно (находится в оперативной памяти только на время запроса).
• Опционально можно сохранить контактный email для запросов поддержки по BYOK.
• Для запросов BYOK (собственный ключ) данные об использовании не засчитываются в квоту выбранного тарифа.

• Предоставление основной функциональности (анализ фото, кеш, обратная связь): ст. 6(1)(b) GDPR (исполнение договора или преддоговорные меры).
• Кеширование и улучшение качества (например, сопоставление перцептивных хешей, исправления администратора для повторяющихся ошибок ИИ): ст. 6(1)(f) GDPR (законный интерес в эффективном и экономичном предоставлении услуги; интерес субъектов данных в меньшем объеме изображений защищен использованием сильно уменьшенных миниатюр и автоматическим удалением через 30 дней).
• Выставление счетов и обработка платежей: ст. 6(1)(b) GDPR и ст. 6(1)(c) GDPR (законные обязательства по хранению данных).
• Предотвращение мошенничества и злоупотреблений (квота, ограничения частоты): ст. 6(1)(f) GDPR.
• Журналы сервера и безопасность: ст. 6(1)(f) GDPR.

Автоматизированное принятие решений по смыслу ст. 22 GDPR, имеющее юридические последствия для субъектов данных, не осуществляется. Оценки пищевой ценности на основе ИИ носят исключительно информационный характер и не являются решениями в правовом смысле.

Для предоставления услуги данные передаются следующим обработчикам и третьим лицам:

5.1 Anthropic PBC (Claude API)

Зарегистрированный офис: Сан-Франциско, Калифорния, США. Фотографии и текстовый промпт передаются в Anthropic Claude API для анализа. Anthropic договорно обязан не использовать переданные данные для обучения моделей (политика нулевого хранения для клиентов API). Основание для передачи: стандартные договорные положения ЕС (SCC). Политика конфиденциальности: anthropic.com/privacy.

5.2 Google LLC (Gemini API, опционально)

Зарегистрированный офис: Маунтин-Вью, Калифорния, США. Опционально администратор может настроить сервер на обработку запросов через Google Gemini API. В этом случае фотографии и промпт передаются в Google. Основание: стандартные договорные положения ЕС. Политика конфиденциальности: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Зарегистрированный офис: Сан-Франциско, Калифорния, США. Опционально пользователь (через настройки) или администратор может отправлять запросы в OpenAI API. В этом случае фотографии и промпт передаются в OpenAI. Основание: стандартные договорные положения ЕС. Политика конфиденциальности: openai.com/policies.

5.4 Zhipu AI

Зарегистрированный офис: Пекин, Китайская Народная Республика. Опционально пользователь может отправлять запросы в Zhipu GLM API. Важно: Китайская Народная Республика считается небезопасной третьей страной по GDPR без решения о достаточности уровня защиты. Использование этого провайдера осуществляется по явному выбору и на собственный риск пользователя; со стороны провайдера заключены стандартные договорные положения. Политика конфиденциальности: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI Service)

Договаривающееся лицо: Microsoft Ireland Operations Ltd., Дублин, Ирландия. Обработка данных в регионах Azure ЕС. Основание: договорная база Microsoft (DPA) и стандартные договорные положения ЕС при передаче данных в третьи страны. Политика конфиденциальности: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (обработка платежей)

Подписки и бонусные кредиты оплачиваются исключительно через App Store (Apple Inc., Купертино, США) или Google Play (Google LLC, Маунтин-Вью, США). Во время платежных транзакций имя, адрес, способ оплаты и адрес электронной почты передаются напрямую в Apple или Google и не передаются нам. Политики конфиденциальности: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts и USDA FoodData Central

Для дополнительной проверки качества (уточняющая сверка) сервер может выполнить текстовое сравнение с публичными базами данных Open Food Facts (Франция) и USDA FoodData Central (США) после анализа ИИ. Фотографии не передаются; отправляются только названия продуктов в виде текстового запроса.

5.8 Хостинг и серверы

Серверы ns.10be.de расположены в Германии, Финляндии и Франции. Данные CarbCam обрабатываются и хранятся на серверах в Германии.

• Кеш анализа (хеш, миниатюра, ответ ИИ): 90 дней, затем автоматическое удаление.
• Индекс перцептивных хешей (предпроверка): 30 дней, затем автоматическое удаление.
• Кеш анализа тренда сахара крови: 30 дней, затем автоматическое удаление.
• События анализа (учет квоты): как минимум на текущий расчетный/квотный период, далее агрегированно для статистических целей.
• История фото (опционально, привязана к идентификатору установки): до удаления пользователем или до прекращения предоставления услуги.
• Обратная связь: до обработки администратором плюс разумный период последующего контроля качества.
• Данные о подписке/платежах: на срок действия договорных отношений и далее в течение установленных законом сроков хранения (как правило, 10 лет по коммерческому и налоговому праву).
• Журналы веб-сервера: макс. 7 дней, затем автоматическая анонимизация.
• Ключ BYOK: не сохраняется постоянно; находится в оперативной памяти только на время отдельного запроса.

По GDPR у вас есть, в частности, следующие права:

• Доступ (ст. 15 GDPR) к данным, хранящимся в связи с вашим идентификатором установки.
• Исправление неточных данных (ст. 16 GDPR).
• Удаление (ст. 17 GDPR), при условии отсутствия установленных законом обязательств по хранению.
• Ограничение обработки: CarbCam не предлагает детального ограничения отдельных целей обработки. Вы можете либо принять обработку данных в полном объеме, либо прекратить ее, удалив приложение или сбросив свой идентификатор установки.
• Переносимость данных (ст. 20 GDPR): данные о приемах пищи (углеводы, значения пищевой ценности, временные метки) хранятся локально на устройстве в базе данных SQLite и могут быть экспортированы в формате CSV/JSON через функцию приложения Настройки → Данные → Экспорт. Если пользователь включил опциональную синхронизацию с Nightscout и его экземпляр Nightscout размещен на NS10BE (управляемый Nightscout), синхронизированные заметки о приемах пищи также являются частью резервных копий базы данных Nightscout там. Для внешних экземпляров Nightscout или без синхронизации с Nightscout серверной резервной копии данных о приемах пищи у нас не существует. Фотографии не архивируются на сервере, включите «Сохранять фото в галерею» в настройках приложения, чтобы иметь локальные копии.
• Возражение против обработки на основании законных интересов (ст. 21 GDPR).
• Жалоба в надзорный орган (ст. 77 GDPR). Компетентным органом является, например, земельный уполномоченный по защите данных и свободе информации земли Баден-Вюртемберг.

Для реализации ваших прав или при возникновении вопросов о защите данных вы можете обращаться к нам в любое время по адресу support@carbcam.app или через форму контактов. Для запроса на удаление без входа в систему укажите 24-символьный идентификатор установки, чтобы соответствующие записи данных можно было идентифицировать.

• Передача данных между приложением и сервером осуществляется исключительно через HTTPS (TLS).
• Доступ к серверам ограничен провайдером и защищен через SSH с аутентификацией по открытому ключу.
• Базы данных недоступны напрямую извне.
• Резервные копии создаются в зашифрованном виде и перезаписываются максимум через три дня, если не затронута основная база данных.
• Ключи BYOK хранятся исключительно в памяти на время запроса и никогда не сохраняются на диск и не записываются в журналы.

Поскольку CarbCam находится в активной BETA-разработке, эта политика конфиденциальности может обновляться при добавлении новых функций, изменении обработчиков данных или при необходимости в силу законодательных требований. Актуальная версия всегда доступна по адресу carbcam.app/ru/privacy.html. О существенных изменениях будет сообщено в приложении или через рассылку.