Privatlivspolitik

Den dataansvarlige i betydningen af databeskyttelsesforordningen (GDPR) er:

Direktør: Martin Schiftan · Handelsregister: Amtsgericht Freiburg i. Br., HRB724192 · Moms-nr.: DE343662047

Ved databeskyttelsesforespørgsler (indsigt, sletning, berigtigelse, indsigelse) skal du bruge kontaktoplysningerne ovenfor eller kontaktformularen.

CarbCam er en smartphone-app, der giver brugerne mulighed for at tage fotos af måltider. Appen sender disse fotos til analyse til ns.10be.de-serverens backend, som videresender billedet til en ekstern AI-grænseflade valgt af brugeren eller serveradministratoren (aktuelt understøttet: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). De returnerede ernæringsestimater (kulhydrater, fedt, protein, FPU, glykæmisk indeks) leveres til og vises i appen.

CarbCam kræver ikke registrering med navn eller e-mailadresse. For at knytte enheden til en kvote/abonnement genereres et anonymt installations-id (24-tegns hexstreng) lokalt ved første app-start og sendes med hver forespørgsel.

3.1 Data indsamlet automatisk med hver forespørgsel

• Installations-id: 24-tegns hexstreng, genereret lokalt ved første app-start. Kan ikke føres tilbage til en fysisk person.
• IP-adresse: registreres af webserveren i standardlogfiler (maks. 7 dage, derefter anonymiseret).
• User agent/app-version: til kompatibilitetstjek og fejlanalyse.
• Tidsstempel og HTTP-statuskode for forespørgslen.

3.2 Indhold genereret ved brug af appen

• Foto af måltidet (midlertidigt): sendes til serveren og derfra til AI-grænsefladen. Det originale billede gemmes ikke permanent efter analysen.
• Fotohash & reduceret miniaturebillede: en SHA-512-hash af billedet og et kraftigt reduceret miniaturebillede gemmes i analysecachen, så identiske eller lignende fotos kan besvares hurtigere og mere omkostningseffektivt (perceptuel hash-matchning).
• Analyseresultat: AI-svaret (fødevarenavne, portionsstørrelser, ernæringsværdier) gemmes i cachen sammen med hashen.
• Analysehændelser: for hver forespørgsel (madscanning såvel som blodsukkertendensanalyse) gemmes en række med installations-id, tidsstempel, udbyder, model og cachematch-type i en hændelsestabel. Denne tabel bruges til kvotetælling (antallet af tilgængelige analyser per måned afhænger af den valgte plan; scanninger og blodsukkeranalyser tæller begge med i den månedlige grænse) og til at forebygge misbrug.
• Fotohistorik (valgfri): reducerede fotos kan efter brugerens ønske knyttes til en personlig fotohistorik via installations-id'et, så brugeren kan hente sin historik efter geninstallation af appen.
• Placeringsbaseret restaurantpåmindelse (valgfri, som standard slået fra): Når brugeren aktiverer denne funktion i appens indstillinger og giver appen “Altid”-placeringstilladelsen (Android ACCESS_BACKGROUND_LOCATION eller iOS NSLocationAlwaysUsageDescription), vurderer appen enhedens placering lokalt (tjekinterval ca. 15 minutter, kun sidst kendte position, ingen løbende sporing) for at registrere, når brugeren opholder sig inden for en radius på 25 m fra en restaurant længere end den konfigurerede grænse (10–90 minutter). Før den første tilladelsesanmodning viser appen en tydelig oplysningsdialog, der angiver formål, modtager og hyppighed af placeringstjekket. For at identificere restauranten sendes positionen efter behov til Apple Maps API (iOS, uden API-nøgle) eller til Google Places API (Android, med vores Maps API-nøgle), udelukkende for at bestemme navnet på en nærliggende restaurant. Placeringsdata forlader ikke enheden mod vores servere: hverken positionen eller navnet på restauranten gemmes eller behandles af os. Funktionen kan slås fra når som helst via kontakten i indstillingerne; systemtilladelsen kan derudover tilbagekaldes i enhedens indstillinger.
• Feedback: bedømmelser og kommentarer, som brugeren indsender til en analyse, knyttes til installations-id'et og den tilhørende cachepost.

3.3 Data relateret til betalingstransaktioner

• Butiks-transaktions-id'er (Apple Original Transaction ID eller Google Purchase Token) til at knytte installationen til abonnementet eller købet af bonuskreditter.
• Plan, status, løbetid og faktureringsperioder for abonnementet.
• Betalingsrelaterede personoplysninger (navn, adresse, betalingsmetode) behandles udelukkende af Apple eller Google og er ikke tilgængelige for os.
• Fakturaer / kvitteringer stilles til rådighed i den pågældende butikskonto (Apple ID-fakturaer eller Google Play-ordrehistorik).

3.4 Valgfrit: Bring Your Own Key (BYOK)

• Brugerens egen API-nøgle til Anthropic/Google bruges på serveren kun til videresendelse til AI'en og gemmes ikke permanent (holdes kun i RAM i forespørgslens varighed).
• Valgfrit kan en e-mailadresse til kontakt gemmes til BYOK-supportforespørgsler.
• For BYOK-forespørgsler (Bring Your Own Key) tælles brugsdata ikke mod kvoten for den valgte pakke.

• Levering af kernefunktionaliteten (fotoanalyse, cache, feedback): art. 6, stk. 1, litra b, GDPR (opfyldelse af en kontrakt eller foranstaltninger forud for indgåelse).
• Caching og kvalitetsforbedring (fx perceptuel hash-matchning, administratorrettelser for tilbagevendende AI-fejl): art. 6, stk. 1, litra f, GDPR (legitim interesse i effektiv og omkostningseffektiv levering af tjenesten; de registreredes interesse i et mindre billedaftryk beskyttes ved brug af kraftigt reducerede miniaturebilleder og automatisk sletning efter 30 dage).
• Fakturering og betalingsbehandling: art. 6, stk. 1, litra b, GDPR og art. 6, stk. 1, litra c, GDPR (lovbestemte opbevaringspligter).
• Forebyggelse af svindel og misbrug (kvote, rate limits): art. 6, stk. 1, litra f, GDPR.
• Serverlogfiler og sikkerhed: art. 6, stk. 1, litra f, GDPR.

Der finder ingen automatiseret afgørelse sted i betydningen af art. 22 GDPR med retsvirkning for de registrerede. De AI-baserede ernæringsestimater er rent informative og udgør ikke afgørelser i juridisk forstand.

For at levere tjenesten overføres data til følgende databehandlere og tredjeparter:

5.1 Anthropic PBC (Claude API)

Hjemsted: San Francisco, CA, USA. Fotos og en tekstprompt overføres til Anthropic Claude API til analyse. Anthropic er kontraktligt forpligtet til ikke at bruge de overførte data til træningsformål (zero-retention-politik for API-kunder). Grundlag for overførslen: EU-standardkontraktbestemmelser (SCC). Privatlivspolitik: anthropic.com/privacy.

5.2 Google LLC (Gemini API, valgfri)

Hjemsted: Mountain View, CA, USA. Valgfrit kan administratoren konfigurere serveren til at behandle forespørgsler via Google Gemini API. I så fald overføres fotos og prompten til Google. Grundlag: EU-standardkontraktbestemmelser. Privatlivspolitik: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Hjemsted: San Francisco, CA, USA. Valgfrit kan brugeren (via indstillinger) eller administratoren sende forespørgsler til OpenAI API. I så fald overføres fotos og prompten til OpenAI. Grundlag: EU-standardkontraktbestemmelser. Privatlivspolitik: openai.com/policies.

5.4 Zhipu AI

Hjemsted: Beijing, Folkerepublikken Kina. Valgfrit kan brugeren sende forespørgsler til Zhipu GLM API. Vigtigt: Folkerepublikken Kina betragtes som et usikkert tredjeland i henhold til GDPR uden en tilstrækkelighedsafgørelse. Brug af denne udbyder sker efter brugerens udtrykkelige valg og på eget ansvar; der er indgået standardkontraktbestemmelser med udbyderen. Privatlivspolitik: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI Service)

Kontraherende enhed: Microsoft Ireland Operations Ltd., Dublin, Irland. Databehandling i Azure EU-regioner. Grundlag: Microsofts kontraktlige rammer (DPA) og EU-standardkontraktbestemmelser, hvor data overføres til tredjelande. Privatlivspolitik: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (betalingsbehandling)

Abonnementer og bonuskreditter faktureres udelukkende via App Store (Apple Inc., Cupertino, USA) eller Google Play (Google LLC, Mountain View, USA). Under betalingstransaktioner overføres navn, adresse, betalingsmetode og e-mailadresse direkte til Apple eller Google og deles ikke med os. Privatlivspolitikker: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts & USDA FoodData Central

Til et ekstra kvalitetstjek (refine-krydskontrol) kan serveren udføre en tekstbaseret sammenligning mod de offentlige databaser fra Open Food Facts (Frankrig) og USDA FoodData Central (USA) efter en AI-analyse. Ingen fotos overføres; kun fødevarenavne sendes som en tekstforespørgsel.

5.8 Hosting og servere

ns.10be.de-serverne er placeret i Tyskland, Finland og Frankrig. CarbCam-data behandles og gemmes på serverne i Tyskland.

• Analysecache (hash, miniaturebillede, AI-svar): 90 dage, derefter automatisk sletning.
• Perceptuel hash-indeks (forkontrol): 30 dage, derefter automatisk sletning.
• Cache til blodsukkertendensanalyse: 30 dage, derefter automatisk sletning.
• Analysehændelser (kvotetælling): mindst i den aktuelle fakturerings-/kvoteperiode, derudover aggregeret til statistiske formål.
• Fotohistorik (valgfri, knyttet til installations-id): indtil brugeren sletter den, eller indtil tjenesten indstilles.
• Feedback: indtil den er behandlet af administratoren plus en rimelig opfølgningsperiode til kvalitetskontrol.
• Abonnements-/betalingsdata: i kontraktforholdets varighed og derudover i de lovbestemte opbevaringsperioder (generelt 10 år i henhold til handels- og skatteret).
• Webserverlogfiler: maks. 7 dage, derefter automatisk anonymisering.
• BYOK-nøgle: gemmes ikke; holdes kun i RAM i den enkelte forespørgsels varighed.

I henhold til GDPR har du navnlig følgende rettigheder:

• Indsigt (art. 15 GDPR) i de data, der er gemt i relation til dit installations-id.
• Berigtigelse af unøjagtige data (art. 16 GDPR).
• Sletning (art. 17 GDPR), forudsat at ingen lovbestemte opbevaringspligter gælder.
• Begrænsning af behandling: CarbCam tilbyder ikke detaljeret begrænsning af individuelle behandlingsformål. Du kan enten acceptere databehandlingen fuldt ud eller afslutte den ved at slette appen eller nulstille dit installations-id.
• Dataportabilitet (art. 20 GDPR): Måltidsdata (kulhydrater, ernæringsværdier, tidsstempler) gemmes lokalt på enheden i en SQLite-database og kan eksporteres som CSV/JSON via appfunktionen Indstillinger → Data → Eksportér. Hvis brugeren har aktiveret den valgfrie Nightscout-synkronisering og deres Nightscout-instans er hostet hos NS10BE (Managed Nightscout), er de synkroniserede måltidsnoter derudover en del af Nightscout-databasebackuppene der. For eksterne Nightscout-instanser eller uden Nightscout-synkronisering findes der ingen serverside-backupkopi af måltidsdataene hos os. Fotos arkiveres ikke på serveren: aktivér «Gem fotos i galleri» i appens indstillinger for at beholde lokale kopier.
• Indsigelse mod behandling baseret på legitime interesser (art. 21 GDPR).
• Klage til en tilsynsmyndighed (art. 77 GDPR). Den kompetente myndighed er for eksempel delstatskommissæren for databeskyttelse og informationsfrihed i Baden-Württemberg.

For at udøve dine rettigheder, eller hvis du har spørgsmål om databeskyttelse, kan du kontakte os når som helst på support@carbcam.app eller via kontaktformularen. Ved en sletningsanmodning uden login skal du oplyse det 24-tegns installations-id, så de relevante dataposter kan identificeres.

• Dataoverførsel mellem appen og serveren sker udelukkende via HTTPS (TLS).
• Adgang til serverne er begrænset til udbyderen og er sikret via SSH med public-key-autentificering.
• Databaser er ikke direkte tilgængelige udefra.
• Backups oprettes i krypteret form og overskrives efter højst tre dage, medmindre kernedatabasen er berørt.
• BYOK-nøgler holdes udelukkende i hukommelsen i en forespørgsels varighed og gemmes aldrig til disk eller logges.

Da CarbCam er under aktiv BETA-udvikling, kan denne privatlivspolitik blive opdateret, når nye funktioner tilføjes, databehandlere ændres, eller lovkrav gør det nødvendigt. Den aktuelle version er altid tilgængelig på ns.10be.de/da/carbcam-privacy.html. Væsentlige ændringer meddeles i appen eller via nyhedsbrevet.