CarbCam: tietosuojakäytäntö

Yleisen tietosuoja-asetuksen (GDPR) tarkoittama rekisterinpitäjä on:

Toimitusjohtaja: Martin Schiftan · Kaupparekisteri: Amtsgericht Freiburg i. Br., HRB724192 · ALV-tunnus: DE343662047

Tietosuojaan liittyvissä kysymyksissä (tarkastus, poisto, oikaisu, vastustaminen) käytä yllä olevia yhteystietoja tai yhteydenottolomaketta.

CarbCam on älypuhelinsovellus, jolla käyttäjät voivat ottaa kuvia aterioistaan. Sovellus lähettää nämä kuvat analysoitavaksi ns.10be.de-palvelinjärjestelmälle, joka välittää kuvan käyttäjän tai palvelimen ylläpitäjän valitsemalle ulkoiselle tekoälyrajapinnalle (tällä hetkellä tuettuina: Anthropic Claude API, Google Gemini API, OpenAI API, xAI Grok API, Mistral API, Zhipu GLM API, Microsoft Azure OpenAI). Palautetut ravintoarviot (hiilihydraatit, rasva, proteiini, FPU, glykeeminen indeksi) toimitetaan ja näytetään sovelluksessa.

CarbCam ei edellytä rekisteröitymistä nimellä tai sähköpostiosoitteella. Laitteen liittämiseksi kiintiöön/tilaukseen anonyymi asennustunnus (24-merkkinen heksadesimaalimerkkijono) luodaan paikallisesti sovelluksen ensimmäisellä käynnistyskerralla ja lähetetään jokaisen pyynnön mukana.

3.1 Automaattisesti kerättävät tiedot jokaisella pyynnöllä

• Asennustunnus: 24-merkkinen heksadesimaalimerkkijono, luotu paikallisesti sovelluksen ensimmäisellä käynnistyskerralla. Ei jäljitettävissä luonnolliseen henkilöön.
• IP-osoite: tallennetaan verkkopalvelimen vakiolokeihin (enintään 7 päivää, sen jälkeen anonymisoidaan).
• Käyttäjäagentti/sovellusversio: yhteensopivuustarkastuksia ja virheanalyysiä varten.
• Aikaleima ja pyynnön HTTP-tilakoodi.

3.2 Sovelluksen käytön kautta syntyvä sisältö

• Aterian valokuva (väliaikainen): lähetetään palvelimelle ja sieltä edelleen tekoälyrajapinnalle. Alkuperäistä kuvaa ei tallenneta pysyvästi analyysin jälkeen.
• Kuvan tiiviste & pienennetty pikkukuva: kuvan SHA-512-tiiviste ja voimakkaasti pienennetty pikkukuva tallennetaan analyysivälimuistiin, jotta identtisiin tai samankaltaisiin kuviin voidaan vastata nopeammin ja kustannustehokkaammin (havainnollisen tiivisteen täsmäytys).
• Analyysin tulos: tekoälyn vastaus (ruokien nimet, annoskoot, ravintoarvot) tallennetaan välimuistiin yhdessä tiivisteen kanssa.
• Analyysitapahtumat: jokaisesta pyynnöstä (sekä ruokaskannauksesta että verensokeritrendianalyysistä) tallennetaan tapahtumataulukkoon rivi, joka sisältää asennustunnuksen, aikaleiman, tarjoajan, mallin ja välimuistiosuman tyypin. Tätä taulukkoa käytetään kiintiölaskentaan (kuukausittain käytettävissä olevien analyysien määrä riippuu valitusta paketista; sekä skannaukset että verensokerianalyysit lasketaan kuukausittaiseen rajaan) ja väärinkäytösten estämiseen.
• Kuvahistoria (valinnainen): pienennetyt kuvat voidaan käyttäjän pyynnöstä liittää henkilökohtaiseen kuvahistoriaan asennustunnuksen kautta, jotta käyttäjä voi noutaa historiansa sovelluksen uudelleenasennuksen jälkeen.
• Sijaintiperusteinen ravintolamuistutus (valinnainen, oletuksena pois päältä): Kun käyttäjä ottaa tämän ominaisuuden käyttöön sovelluksen asetuksista ja myöntää sovellukselle “Aina”-sijaintioikeuden (Android ACCESS_BACKGROUND_LOCATION tai iOS NSLocationAlwaysUsageDescription), sovellus arvioi laitteen sijainnin paikallisesti (tarkistusväli noin 15 minuuttia, vain viimeisin tunnettu sijainti, ei jatkuvaa seurantaa) havaitakseen, kun käyttäjä pysyy 25 m säteellä ravintolasta pidempään kuin asetettu kynnysaika (10–90 minuuttia). Ennen ensimmäistä lupapyyntöä sovellus näyttää selkeän, näkyvän ilmoitusikkunan, jossa kerrotaan sijaintitarkastuksen tarkoitus, vastaanottaja ja taajuus. Ravintolan tunnistamiseksi sijainti lähetetään tarvittaessa Apple Maps -rajapintaan (iOS, ilman API-avainta) tai Google Places -rajapintaan (Android, käyttäen meidän Maps-API-avaintamme), yksinomaan lähellä olevan ravintolan nimen selvittämiseksi. Sijaintitiedot eivät siirry laitteelta palvelimillemme: emme tallenna tai käsittele sijaintia tai ravintolan nimeä. Ominaisuuden voi kytkeä pois päältä milloin tahansa asetusten kytkimestä; järjestelmän käyttöoikeuden voi lisäksi peruuttaa laitteen asetuksista.
• Palaute: käyttäjän antamat arviot ja kommentit analyysistä yhdistetään asennustunnukseen ja vastaavaan välimuistimerkintään.

3.3 Maksutapahtumiin liittyvät tiedot

• Sovelluskaupan tapahtumatunnukset (Applen alkuperäinen tapahtumatunnus tai Googlen ostotunnus) asennuksen liittämiseksi tilaukseen tai bonuskrediittiostoon.
• Tilauksen paketti, tila, kesto ja laskutuskaudet.
• Maksuun liittyvät henkilötiedot (nimi, osoite, maksutapa) käsittelee yksinomaan Apple tai Google, eivätkä ne ole meidän saatavillamme.
• Laskut/kuitit löytyvät kyseisen sovelluskaupan tililtä (Apple ID -laskut tai Google Play -tilaushistoria).

3.4 Valinnainen: Tuo oma avain (BYOK)

• Käyttäjän oma Anthropic-/Google-API-avain käytetään palvelimella ainoastaan tekoälylle välittämiseen, eikä sitä tallenneta pysyvästi (pidetään RAM-muistissa vain pyynnön keston ajan).
• Valinnaisesti yhteydenottosähköposti voidaan tallentaa BYOK-tukikyselyitä varten.
• BYOK-pyyntöjen (Bring Your Own Key) käyttötietoja ei lasketa valitun paketin kiintiötä vasten.

• Ydintoiminnallisuuden tarjoaminen (kuva-analyysi, välimuisti, palaute): GDPR 6 art. 1 kohta b (sopimuksen täytäntöönpano tai sopimusta edeltävät toimenpiteet).
• Välimuistiin tallentaminen ja laadun parantaminen (esim. havainnollisen tiivisteen täsmäytys, ylläpitäjän korjaukset toistuviin tekoälyvirheisiin): GDPR 6 art. 1 kohta f (oikeutettu etu palvelun tehokkaaseen ja kustannustehokkaaseen tarjoamiseen; rekisteröityjen etu pienempään kuvajalanjälkeen turvataan käyttämällä voimakkaasti pienennettyjä pikkukuvia ja automaattista 30 päivän poistoa).
• Laskutus ja maksujen käsittely: GDPR 6 art. 1 kohta b ja GDPR 6 art. 1 kohta c (lakisääteiset säilytysvelvoitteet).
• Väärinkäytösten estäminen (kiintiöt, käyttörajat): GDPR 6 art. 1 kohta f.
• Palvelinlokit ja tietoturva: GDPR 6 art. 1 kohta f.

GDPR:n 22 artiklan tarkoittamaa automaattista päätöksentekoa, jolla olisi oikeudellisia vaikutuksia rekisteröityihin, ei tapahdu. Tekoälypohjaiset ravintoarviot ovat puhtaasti informatiivisia eivätkä muodosta päätöksiä oikeudellisessa mielessä.

Palvelun tarjoamiseksi tietoja siirretään seuraaville käsittelijöille ja kolmansille osapuolille:

5.1 Anthropic PBC (Claude API)

Kotipaikka: San Francisco, CA, Yhdysvallat. Kuvat ja tekstipohjainen kehote lähetetään Anthropic Claude -rajapinnalle analysoitavaksi. Anthropic on sopimuksella velvoitettu olemaan käyttämättä lähetettyjä tietoja mallin koulutukseen (API-asiakkaiden nollasäilytyskäytäntö). Siirron peruste: EU:n vakiosopimuslausekkeet (SCC). Tietosuojaseloste: anthropic.com/privacy.

5.2 Google LLC (Gemini API, valinnainen)

Kotipaikka: Mountain View, CA, Yhdysvallat. Ylläpitäjä voi valinnaisesti määrittää palvelimen käsittelemään pyyntöjä Google Gemini -rajapinnan kautta. Tässä tapauksessa kuvat ja kehote lähetetään Googlelle. Peruste: EU:n vakiosopimuslausekkeet. Tietosuojaseloste: policies.google.com/privacy.

5.3 OpenAI, L.L.C.

Kotipaikka: San Francisco, CA, Yhdysvallat. Käyttäjä (asetusten kautta) tai ylläpitäjä voi valinnaisesti lähettää pyyntöjä OpenAI-rajapinnalle. Tässä tapauksessa kuvat ja kehote lähetetään OpenAI:lle. Peruste: EU:n vakiosopimuslausekkeet. Tietosuojaseloste: openai.com/policies.

5.4 Zhipu AI

Kotipaikka: Peking, Kiinan kansantasavalta. Käyttäjä voi valinnaisesti lähettää pyyntöjä Zhipu GLM -rajapinnalle. Tärkeää: Kiinan kansantasavaltaa pidetään GDPR:n mukaan turvattomana kolmantena maana ilman riittävyyspäätöstä. Tämän tarjoajan käyttö perustuu käyttäjän nimenomaiseen valintaan ja omalla vastuulla; tarjoajan kanssa on solmittu vakiosopimuslausekkeet. Tietosuojaseloste: bigmodel.cn/dev/api/security/privacy.

5.5 Microsoft Azure (OpenAI Service)

Sopimusosapuoli: Microsoft Ireland Operations Ltd., Dublin, Irlanti. Tietojenkäsittely Azuren EU-alueilla. Peruste: Microsoftin sopimuskehys (DPA) ja EU:n vakiosopimuslausekkeet siirrettäessä tietoja kolmansiin maihin. Tietosuojaseloste: privacy.microsoft.com.

5.6 Apple Inc. / Google LLC (maksujen käsittely)

Tilaukset ja bonuskrediitit laskutetaan yksinomaan App Storen (Apple Inc., Cupertino, Yhdysvallat) tai Google Playn (Google LLC, Mountain View, Yhdysvallat) kautta. Maksutapahtumien yhteydessä nimi, osoite, maksutapa ja sähköpostiosoite lähetetään suoraan Applelle tai Googlelle, eikä niitä jaeta meille. Tietosuojaselosteet: apple.com/legal/privacy, policies.google.com/privacy.

5.7 Open Food Facts & USDA FoodData Central

Lisälaaduntarkastusta varten (tarkennettu ristiintarkistus) palvelin voi suorittaa tekstipohjaisen vertailun Open Food Factsin (Ranska) ja USDA FoodData Centralin (Yhdysvallat) julkisia tietokantoja vasten tekoälyanalyysin jälkeen. Kuvia ei lähetetä; vain ruokien nimet lähetetään tekstihakuna.

5.8 Hosting ja palvelimet

ns.10be.den palvelimet sijaitsevat Saksassa, Suomessa ja Ranskassa. CarbCam-tiedot käsitellään ja tallennetaan Saksassa sijaitsevilla palvelimilla.

• Analyysivälimuisti (tiiviste, pikkukuva, tekoälyn vastaus): 90 päivää, sen jälkeen automaattinen poisto.
• Havainnollisen tiivisteen indeksi (esitarkistus): 30 päivää, sen jälkeen automaattinen poisto.
• Verensokeritrendianalyysin välimuisti: 30 päivää, sen jälkeen automaattinen poisto.
• Analyysitapahtumat (kiintiölaskenta): vähintään nykyisen laskutus-/kiintiökauden ajan, sen jälkeen koostettuna tilastointitarkoituksiin.
• Kuvahistoria (valinnainen, sidottu asennustunnukseen): kunnes käyttäjä poistaa sen tai palvelu lopetetaan.
• Palaute: kunnes ylläpitäjä on käsitellyt sen, sekä kohtuullinen seuranta-aika laadunvalvontaa varten.
• Tilaus-/maksutiedot: sopimussuhteen keston ajan ja sen jälkeen lakisääteisten säilytysaikojen mukaisesti (yleensä 10 vuotta kauppa- ja verolainsäädännön nojalla).
• Verkkopalvelimen lokit: enintään 7 päivää, sen jälkeen automaattinen anonymisointi.
• BYOK-avain: ei tallenneta pysyvästi; pidetään RAM-muistissa vain yksittäisen pyynnön keston ajan.

GDPR:n mukaan sinulla on erityisesti seuraavat oikeudet:

• Tarkastusoikeus (GDPR 15 art.) asennustunnukseesi liittyen tallennettuihin tietoihin.
• Virheellisten tietojen oikaisu (GDPR 16 art.).
• Poisto (GDPR 17 art.), mikäli lakisääteisiä säilytysvelvoitteita ei sovelleta.
• Käsittelyn rajoittaminen: CarbCam ei tarjoa yksittäisten käsittelytarkoitusten hienojakoista rajoittamista. Voit joko hyväksyä tietojenkäsittelyn kokonaisuudessaan tai lopettaa sen poistamalla sovelluksen tai nollaamalla asennustunnuksesi.
• Tiedonsiirto-oikeus (GDPR 20 art.): Ateriatiedot (hiilihydraatit, ravintoarvot, aikaleimat) tallennetaan paikallisesti laitteelle SQLite-tietokantaan, ja ne voidaan viedä CSV-/JSON-muodossa sovelluksen toiminnolla Asetukset → Tiedot → Vie. Jos käyttäjä on ottanut käyttöön valinnaisen Nightscout-synkronoinnin ja hänen Nightscout-instanssinsa on isännöity NS10BE:llä (hallinnoitu Nightscout), synkronoidut ateriamuistiinpanot ovat lisäksi osa siellä tehtäviä Nightscout-tietokannan varmuuskopioita. Ulkoisten Nightscout-instanssien tapauksessa tai ilman Nightscout-synkronointia meillä ei ole palvelinpuolista varmuuskopiota ateriatiedoista. Kuvia ei arkistoida palvelimella: ota sovelluksen asetuksista käyttöön «Tallenna kuvat galleriaan» säilyttääksesi paikalliset kopiot.
• Vastustamisoikeus oikeutettuun etuun perustuvaa käsittelyä vastaan (GDPR 21 art.).
• Valitus valvontaviranomaiselle (GDPR 77 art.). Toimivaltainen viranomainen on esimerkiksi Baden-Württembergin osavaltion tietosuoja- ja tiedonvapausvaltuutettu.

Käyttääksesi oikeuksiasi tai jos sinulla on kysyttävää tietosuojasta, voit ottaa meihin yhteyttä milloin tahansa osoitteessa support@carbcam.app tai yhteydenottolomakkeen kautta. Poistopyyntöä varten ilman kirjautumista ilmoita 24-merkkinen asennustunnus, jotta asianomaiset tietueet voidaan tunnistaa.

• Tiedonsiirto sovelluksen ja palvelimen välillä tapahtuu yksinomaan HTTPS:n (TLS) kautta.
• Pääsy palvelimille on rajoitettu palveluntarjoajalle ja suojattu SSH:lla julkisen avaimen todennuksella.
• Tietokannat eivät ole suoraan käytettävissä ulkopuolelta.
• Varmuuskopiot luodaan salattuina ja korvataan enintään kolmen päivän kuluttua, ellei ydintietokanta ole kyseessä.
• BYOK-avaimet pidetään yksinomaan muistissa pyynnön keston ajan eikä niitä koskaan tallenneta levylle tai lokiteta.

Koska CarbCamia kehitetään aktiivisesti BETA-vaiheessa, tätä tietosuojaselostetta voidaan päivittää uusien ominaisuuksien lisäämisen, käsittelijöiden muutosten tai lakisääteisten vaatimusten vuoksi. Ajantasainen versio on aina saatavilla osoitteessa ns.10be.de/fi/carbcam-privacy.html. Olennaisista muutoksista ilmoitetaan sovelluksessa tai uutiskirjeen kautta.