CarbCam: integritetspolicy

Personuppgiftsansvarig i den mening som avses i allmänna dataskyddsförordningen (GDPR) är:

Verkställande direktör: Martin Schiftan · Handelsregister: Amtsgericht Freiburg i. Br., HRB724192 · Momsregistreringsnummer: DE343662047

Vid dataskyddsförfrågningar (tillgång, radering, rättelse, invändning) använd kontaktuppgifterna ovan eller kontaktformuläret.

CarbCam är en smartphoneapp som låter användare ta foton av måltider. Appen skickar dessa foton för analys till ns.10be.de-serverbackenden, som vidarebefordrar bilden till ett externt AI-gränssnitt som valts av användaren eller serveradministratören (för närvarande stöds: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). De returnerade näringsuppskattningarna (kolhydrater, fett, protein, FPU, glykemiskt index) levereras till och visas i appen.

CarbCam kräver ingen registrering med namn eller e-postadress. För att koppla enheten till en kvot/ett abonnemang genereras ett anonymt installations-ID (24-teckens hexsträng) lokalt vid första appstarten och skickas med varje förfrågan.

3.1 Data som samlas in automatiskt vid varje förfrågan

• Installations-ID: 24-teckens hexsträng, genereras lokalt vid första appstarten. Kan inte spåras till en fysisk person.
• IP-adress: registreras av webbservern i standardloggar (max 7 dagar, sedan anonymiseras den).
• Användaragent/appversion: för kompatibilitetskontroller och felanalys.
• Tidsstämpel och HTTP-statuskod för förfrågan.

3.2 Innehåll som skapas genom användning av appen

• Foto av måltiden (tillfälligt): skickas till servern och därifrån till AI-gränssnittet. Originalbilden sparas inte permanent efter analysen.
• Fotohash och förminskad miniatyrbild: en SHA-512-hash av bilden och en kraftigt förminskad miniatyrbild sparas i analyscachen så att identiska eller liknande foton kan besvaras snabbare och mer kostnadseffektivt (matchning via perceptuell hash).
• Analysresultat: AI-svaret (livsmedelsnamn, portionsstorlekar, näringsvärden) sparas i cachen tillsammans med hashen.
• Analyshändelser: för varje förfrågan (matskanning såväl som BG-trendanalys) sparas en rad innehållande installations-ID, tidsstämpel, leverantör, modell och cacheträfftyp i en händelsetabell. Denna tabell används för kvoträkning (antalet analyser som är tillgängliga per månad beror på vald plan; både skanningar och BG-analyser räknas mot den månatliga gränsen) och för att förhindra missbruk.
• Foto-historik (valfritt): förminskade foton kan, på användarens begäran, kopplas till en personlig foto-historik via installations-ID:t, så att användaren kan hämta sin historik efter en ominstallation av appen.
• Platsbaserad restaurangpåminnelse (valfritt, avstängd som standard): När användaren aktiverar denna funktion i appens inställningar och ger appen behörigheten “Alltid” för plats (Android ACCESS_BACKGROUND_LOCATION eller iOS NSLocationAlwaysUsageDescription), utvärderar appen enhetens plats lokalt (kontrollintervall cirka 15 minuter, endast senast kända position: ingen kontinuerlig spårning) för att upptäcka när användaren befinner sig inom en radie av 25 m från en restaurang längre än den konfigurerade tröskeln (10–90 minuter). Innan den första behörighetsförfrågan visar appen en tydlig, framträdande upplysningsdialog som anger syftet, mottagaren och frekvensen av platskontrollen. För att identifiera restaurangen skickas positionen på begäran till Apple Maps API (iOS, utan API-nyckel) eller till Google Places API (Android, med vår Maps API-nyckel), uteslutande för att fastställa namnet på en närliggande restaurang. Platsdata lämnar inte enheten till våra servrar: varken positionen eller restaurangens namn sparas eller behandlas av oss. Funktionen kan stängas av när som helst via inställningsreglaget; systembehörigheten kan dessutom återkallas i enhetens inställningar.
• Feedback: betyg och kommentarer som användaren skickar in för en analys kopplas till installations-ID:t och motsvarande cachepost.

3.3 Data relaterad till betalningstransaktioner

• Butikstransaktions-ID (Apples Original Transaction ID eller Googles köptoken) för att koppla installationen till abonnemanget eller köpet av bonuskrediter.
• Plan, status, löptid och faktureringsperioder för abonnemanget.
• Betalningsrelaterade personuppgifter (namn, adress, betalningsmetod) behandlas uteslutande av Apple eller Google och är inte tillgängliga för oss.
• Fakturor/kvitton tillhandahålls i respektive butikskonto (Apple ID-fakturor eller Google Play-orderhistorik).

3.4 Valfritt: Bring Your Own Key (BYOK)

• Användarens egen API-nyckel för Anthropic/Google används på servern endast för vidarebefordran till AI:n och sparas inte permanent (hålls endast i RAM under förfrågans varaktighet).
• Valfritt kan en kontakt-e-postadress sparas för BYOK-supportförfrågningar.
• För BYOK-förfrågningar (Bring Your Own Key) räknas inte användningsdata mot kvoten för det valda paketet.

• Tillhandahållande av kärnfunktionaliteten (fotoanalys, cache, feedback): Art. 6(1)(b) GDPR (fullgörande av ett avtal eller åtgärder före ett avtal).
• Cachning och kvalitetsförbättring (t.ex. matchning via perceptuell hash, adminkorrigeringar för återkommande AI-fel): Art. 6(1)(f) GDPR (berättigat intresse av en effektiv och kostnadseffektiv tjänstetillhandahållning; de registrerades intresse av ett mindre bildavtryck säkerställs genom användning av kraftigt förminskade miniatyrbilder och automatisk radering efter 30 dagar).
• Fakturering och betalningsbehandling: Art. 6(1)(b) GDPR och Art. 6(1)(c) GDPR (lagstadgade lagringsskyldigheter).
• Förhindrande av bedrägeri och missbruk (kvot, hastighetsbegränsningar): Art. 6(1)(f) GDPR.
• Serverloggar och säkerhet: Art. 6(1)(f) GDPR.

Inget automatiserat beslutsfattande i den mening som avses i Art. 22 GDPR med rättslig verkan på de registrerade sker. De AI-baserade näringsuppskattningarna är rent informativa och utgör inga beslut i juridisk mening.

För att tillhandahålla tjänsten överförs data till följande personuppgiftsbiträden och tredje parter:

5.1 Anthropic PBC (Claude API)

Säte: San Francisco, CA, USA. Foton och en textprompt överförs till Anthropic Claude API för analys. Anthropic är avtalsmässigt förpliktigat att inte använda den överförda datan för träningsändamål (nollretention-policy för API-kunder). Grund för överföringen: EU:s standardavtalsklausuler (SCC). Integritetspolicy: anthropic.com/privacy.

5.2 Google LLC (Gemini API, valfritt)

Säte: Mountain View, CA, USA. Valfritt kan administratören konfigurera servern att behandla förfrågningar via Google Gemini API. I detta fall överförs foton och prompten till Google. Grund: EU:s standardavtalsklausuler. Integritetspolicy: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Säte: San Francisco, CA, USA. Valfritt kan användaren (via inställningar) eller administratören skicka förfrågningar till OpenAI API. I detta fall överförs foton och prompten till OpenAI. Grund: EU:s standardavtalsklausuler. Integritetspolicy: openai.com/policies.

5.4 Zhipu AI

Säte: Peking, Folkrepubliken Kina. Valfritt kan användaren skicka förfrågningar till Zhipu GLM API. Viktigt: Folkrepubliken Kina betraktas som ett osäkert tredjeland enligt GDPR utan ett adekvansbeslut. Användning av denna leverantör sker på användarens uttryckliga val och egen risk; standardavtalsklausuler har ingåtts med leverantören. Integritetspolicy: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI-tjänst)

Avtalspart: Microsoft Ireland Operations Ltd., Dublin, Irland. Databehandling i Azures EU-regioner. Grund: Microsofts avtalsramverk (DPA) och EU:s standardavtalsklausuler där data överförs till tredjeländer. Integritetspolicy: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (betalningsbehandling)

Abonnemang och bonuskrediter faktureras uteslutande via App Store (Apple Inc., Cupertino, USA) eller Google Play (Google LLC, Mountain View, USA). Under betalningstransaktioner överförs namn, adress, betalningsmetod och e-postadress direkt till Apple eller Google och delas inte med oss. Integritetspolicyer: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts och USDA FoodData Central

För en ytterligare kvalitetskontroll (förfinad korskontroll) kan servern utföra en textbaserad jämförelse mot de offentliga databaserna Open Food Facts (Frankrike) och USDA FoodData Central (USA) efter en AI-analys. Inga foton överförs; endast livsmedelsnamn skickas som en textförfrågan.

5.8 Hosting och servrar

ns.10be.de-servrarna finns i Tyskland, Finland och Frankrike. CarbCam-data behandlas och sparas på servrarna i Tyskland.

• Analyscache (hash, miniatyrbild, AI-svar): 90 dagar, sedan automatisk radering.
• Index för perceptuell hash (förkontroll): 30 dagar, sedan automatisk radering.
• Cache för BG-trendanalys: 30 dagar, sedan automatisk radering.
• Analyshändelser (kvoträkning): minst under den aktuella fakturerings-/kvotperioden, därutöver aggregerat för statistiska ändamål.
• Foto-historik (valfritt, kopplad till installations-ID): tills användaren raderar den eller tills tjänsten avslutas.
• Feedback: tills den behandlats av administratören plus en rimlig uppföljningsperiod för kvalitetskontroll.
• Abonnemangs-/betalningsdata: under avtalsförhållandets varaktighet och därutöver för de lagstadgade lagringstiderna (i regel 10 år enligt handels- och skatterätt).
• Webbserverloggar: max 7 dagar, sedan automatisk anonymisering.
• BYOK-nyckel: sparas inte varaktigt; hålls endast i RAM under den enskilda förfrågans varaktighet.

Enligt GDPR har du bland annat följande rättigheter:

• Tillgång (Art. 15 GDPR) till de data som sparats i förhållande till ditt installations-ID.
• Rättelse av felaktiga data (Art. 16 GDPR).
• Radering (Art. 17 GDPR), förutsatt att inga lagstadgade lagringsskyldigheter gäller.
• Begränsning av behandling: CarbCam erbjuder inte en detaljerad begränsning av enskilda behandlingssyften. Du kan antingen acceptera databehandlingen fullt ut eller avsluta den genom att radera appen eller återställa ditt installations-ID.
• Dataportabilitet (Art. 20 GDPR): Måltidsdata (kolhydrater, näringsvärden, tidsstämplar) sparas lokalt på enheten i en SQLite-databas och kan exporteras som CSV/JSON via appfunktionen Inställningar → Data → Exportera. Om användaren har aktiverat den valfria Nightscout-synken och deras Nightscout-instans hostas hos NS10BE (hanterad Nightscout), är de synkade måltidsanteckningarna dessutom en del av Nightscout-databassäkerhetskopiorna där. För externa Nightscout-instanser eller utan Nightscout-synk finns ingen serversidig säkerhetskopia av måltidsdatan hos oss. Foton arkiveras inte på servern: aktivera «Spara foton till galleriet» i appens inställningar för att behålla lokala kopior.
• Invändning mot behandling baserad på berättigade intressen (Art. 21 GDPR).
• Klagomål till en tillsynsmyndighet (Art. 77 GDPR). Behörig myndighet är till exempel Baden-Württembergs delstatliga kommissionär för dataskydd och informationsfrihet.

För att utöva dina rättigheter eller om du har frågor om dataskydd kan du när som helst kontakta oss på support@carbcam.app eller via kontaktformuläret. För en raderingsförfrågan utan inloggning, ange det 24-teckens installations-ID:t så att de relevanta dataposterna kan identifieras.

• Dataöverföring mellan appen och servern sker uteslutande via HTTPS (TLS).
• Åtkomst till servrarna är begränsad till leverantören och säkras via SSH med publik nyckelautentisering.
• Databaserna är inte direkt tillgängliga utifrån.
• Säkerhetskopior skapas krypterade och skrivs över efter max tre dagar, såvida inte kärndatabasen påverkas.
• BYOK-nycklar hålls uteslutande i minnet under en förfrågans varaktighet och sparas eller loggas aldrig på disk.

Eftersom CarbCam är under aktiv BETA-utveckling kan denna integritetspolicy komma att uppdateras när nya funktioner läggs till, personuppgiftsbiträden ändras, eller juridiska krav gör det nödvändigt. Den aktuella versionen finns alltid på carbcam.app/sv/privacy.html. Väsentliga ändringar kommuniceras i appen eller via nyhetsbrevet.