Zásady ochrany osobních údajů Wellboy

Datum účinnosti: zatím nenabylo účinnosti (návrh).

1. Kdo jsme

Wellboy provozuje Pankka Group Oy, společnost s ručením omezeným registrovaná ve Finsku (IČO 3397011-8), Sukkulatie 10, 87700 Kajaani, Finsko. Pankka Group Oy je správcem osobních údajů popsaných v těchto zásadách.

Kontakt pro ochranu osobních údajů: [email protected]

V těchto zásadách „Wellboy“, „my“ a „nás“ znamenají Pankka Group Oy a „aplikace“ znamená aplikaci Wellboy (verze pro iOS, Android a počítače).

2. Shrnutí jednoduchým jazykem

• Aplikace používá přístup offline-first: tvoje data jsou v místní databázi na tvém zařízení a základní sledování funguje bez připojení. Synchronizace, funkce AI, nákupy, sdílení a online vyhledávání produktů připojení vyžadují.
• Když jsi online, tvůj obsah se synchronizuje do naší cloudové databáze (Google Cloud Firestore) v regionu EU europe-north1 (Finsko) a ukládá se pod soukromým ID účtu, ze kterého může číst nebo do něj zapisovat pouze tvůj přihlášený účet.
• Automaticky začínáš jako anonymní účet a na konci úvodního nastavení si zaregistruješ způsob přihlášení (Apple, Google nebo e-mail), aby ti data zůstala napříč zařízeními.
• Funkce AI (skenování fotografií jídel, chat s trenérem, generování tréninků) odesílají potřebné vstupy přes vlastní servery Wellboy ke zpracování společnosti OpenAI. Aplikace volá náš server a klíč AI API je uložen jako tajný údaj serveru. Požadavky se odesílají s vypnutým ukládáním stavu aplikace OpenAI; OpenAI může podle vlastních podmínek uchovávat protokoly API pro sledování zneužití (obvykle až 30 dní) a Wellboy ani OpenAI tvoje vstupy nepoužívají k trénování modelů AI.
• Volitelně můžeš připojit Apple Health (HealthKit) nebo Health Connect (Android). Import do aplikace Wellboy je jen pro čtení. Pokud použiješ volitelnou doprovodnou aplikaci pro Apple Watch k zaznamenání tréninku, hodinky uloží tento trénink (s tepem a aktivní energií) do Apple Health na tvých vlastních zařízeních; tato data se neodesílají na servery Wellboy (oddíl 3.5).
• Nákupy Wellboy Pro zpracovává Apple nebo Google; údaje o tvé kartě nikdy nevidíme. RevenueCat pro nás zpracovává potvrzení o nákupu.
• V této verzi nemáme žádné reklamy ani produktovou analytiku třetích stran. Komponenty Google SDK, které aplikace používá (ML Kit, Firebase), hlásí společnosti Google omezenou technickou telemetrii (oddíly 3.4 a 9).
• Hlášení pádů je volitelné a ve výchozím nastavení vypnuté. Pokud je zapneš, hlášení pádů a chyb (pouze technická data, nikdy tvůj obsah) putují do Google Firebase Crashlytics a zpracovávají se ve Spojených státech. Vypnout je můžeš kdykoli v Nastavení (oddíl 3.7).
• Připomenutí se plánují na tvém zařízení a nikdy jej neopouštějí. Jediné zprávy, které naše servery odesílají, jsou volitelná cenová upozornění týkající se doživotního nákupu a neviditelný signál, který aplikaci říká, aby obnovila vlastní data (oddíl 3.8).
• Historie chatu s trenérem, nákupní seznamy, denní počty kroků a většina nastavení aplikace se do tvého cloudového účtu nikdy nenahrávají. Fotografie ze skenování jídel také zůstávají na tvém zařízení. Odpověď trenéra na každou zpoplatněnou zprávu se uchovává v záznamu požadavku AI na straně serveru (oddíl 5.5).
• Sdílecí kódy zveřejňují zmrazený veřejný snímek sdíleného obsahu, který může zobrazit kdokoli s tímto kódem.
• Svoje data můžeš přímo v aplikaci exportovat jako soubor ZIP (JSON + tvoje obrazové soubory) a smazat svůj účet (se všemi synchronizovanými daty).

3. Údaje, které shromažďujeme

3.1 Údaje o účtu

• Anonymní účet (náhodné ID účtu) se vytvoří automaticky při prvním připojení aplikace a úvodní nastavení tě vyzve k registraci způsobu přihlášení.
• Při registraci nebo propojení způsobu přihlášení ukládáme identifikátory, které nám poskytne daný poskytovatel: tvoji e-mailovou adresu a ID účtů u poskytovatele (Sign in with Apple, Google Sign-In nebo e-mail + heslo), včetně stavu ověření e-mailu. Pokud nám je poskytovatel sdílí, můžeme obdržet také jméno připojené k tomuto účtu (například ze Sign in with Apple).
• Ověřování pomocí telefonu/SMS neposkytujeme.

3.2 Obsah, který přidáváš (zdravotní a kondiční údaje)

V závislosti na tom, které funkce používáš, to může zahrnovat:

• jídla a záznamy o výživě (potraviny, porce, energie, makroživiny), hydrataci, souhrny denního check-in a výživové cíle,
• tvoje cíle (hlavní tréninkové cíle, cílovou hmotnost, týdenní cíl tréninků, úroveň každodenní aktivity),
• záznamy kvality spánku,
• tréninky: tvoje vlastní šablony tréninků, dokončené tréninky (série, váhy, opakování, časy, vzdálenosti), naplánované tréninky a tréninkové programy,
• recepty a obsah kuchařky včetně fotografií receptů,
• nákupní seznamy (pouze v zařízení),
• tělesné míry a fotografie pokroku (fotografie pokroku jsou dostupné pouze uživatelům ve věku 18 let a více, viz oddíl 14),
• údaje importované z Apple Health nebo Health Connect (oddíl 3.5),
• výsledky výzev (například skóre výzvy v klikách),
• šňůry, zkušenostní body (XP), historie virtuálních kreditů a potvrzení o uplatněních provedených pomocí virtuálních kreditů,
• záznamy sdílení (metadata o sdílecích kódech, které jsi vytvořil) a záznamy doporučení kamarádů (oddíl 8.3),
• volitelná fotografie avatara,
• zprávy chatu s trenérem (uložené pouze na tvém zařízení),
• tvůj profil: jméno, pohlaví a datum narození (používané pro odhady kalorií, personalizaci trenéra a kontrolu minimálního věku; samotný věk se počítá za běhu a nikdy se neukládá).

Velká část těchto údajů souvisí se zdravím. Ve výchozím nastavení se ke všem chováme jako k soukromým a ukládáme je pouze za účelem poskytování služby.

3.3 Nastavení

Jednotky, jazyk, motiv, předvolby oznámení, výchozí nastavení tréninku, volitelná přibližná poloha na úrovni země/města a volitelná cesta k profilové fotografii se ukládají pouze na tvém zařízení (viz 4.3). Výjimkou jsou tvoje jméno, pohlaví a datum narození, které se synchronizují do tvého cloudového účtu jako tvůj profil (spolu s příznakem, že jsi dokončil úvodní nastavení, a pokud jsi na ni odpověděl, s tvojí volitelnou volbou „kde ses o nás dozvěděl“, oddíl 3.6), aby tě následovaly na nové zařízení.

Podrobnosti o poloze: svou zemi a město můžeš zadat sám, nebo udělit operačnímu systému oprávnění k přibližné poloze. Aplikace nikdy nevyžaduje přesnou polohu GPS. Poloha se používá pouze pro regionální obsah.

3.4 Údaje shromažďované automaticky

• Neobsahujeme žádné reklamní SDK ani SDK třetích stran pro produktovou analytiku. Komponenty Google SDK používané aplikací (detekce póz v ML Kit, Firebase) hlásí společnosti Google omezenou technickou telemetrii (údaje o zařízení, aplikaci, konfiguraci, výkonu a chybách; viz oddíl 9).

• Používání služeb Google nutně zpřístupňuje společnosti Google standardní technické údaje (IP adresu, informace o zařízení, časová razítka) jako našemu poskytovateli služeb, když aplikace komunikuje s koncovými body ověřování, databáze nebo serveru.

• Aplikace používá Firebase App Check k ověření zařízení/aplikace, které pomáhá ověřit, že požadavky pocházejí z pravé, neupravené aplikace Wellboy. Při ověřování se vyměňuje token integrity vydaný společností Apple nebo Google; osobně tě neidentifikuje.

• Abychom spravedlivě uplatňovali denní limity napříč časovými pásmy, náš server ukládá k tvému účtu nejnovější název časového pásma IANA tvého zařízení (například “Europe/Helsinki”) a používá jej (nebo Europe/Helsinki, pokud není uloženo žádné pásmo) pro denní hranice. Časové pásmo je hrubý regionální signál, nikoli záznam o poloze.

• Skenování čárových kódů odesílá pouze číslice čárového kódu na naši vlastní službu zrcadlení produktů (food.wellboy.net, hostovanou na Cloudflare). Pokud zrcadlo nevrátí použitelný produkt (neznámý čárový kód, chybějící nutriční hodnoty nebo chyba zrcadla), číslice se poté odešlou do Open Food Facts a pro uživatele na americkém trhu také do USDA FoodData Central jako záložní vyhledávání. Každá služba v rámci požadavku nutně uvidí tvoji IP adresu; neodesílá se žádný identifikátor účtu. Výsledky s nutričními hodnotami se v zařízení ukládají do mezipaměti po dobu 30 dnů, takže opakované skenování stejného produktu nevyžaduje žádný síťový požadavek.

• Videa s ukázkami cviků se streamují z naší sítě CDN (cdn.wellboy.net), která vidí standardní protokoly webových požadavků.

• Volitelné hlášení pádů a chyb je ve výchozím nastavení vypnuté a je popsáno v oddílu 3.7; dokud je vypnuté, nic se pro něj neshromažďuje.

• V systémech iOS a Android aplikace registruje u Google Firebase Cloud Messaging (FCM) směrovací token push zpráv, aby náš server mohl doručovat zprávy popsané v oddílu 3.8. Token se ukládá k tvému účtu a vytvoří se i tehdy, když odmítneš viditelná oznámení (nese také neviditelný signál aktualizace).

3.5 Import z aplikací zdraví (Apple Health / Health Connect)

Pokud Wellboy připojíš k Apple Health (iOS) nebo Health Connect (Android), aplikace s tvým svolením čte pouze tyto typy:

• hmotnost, procento tělesného tuku, beztukovou tělesnou hmotnost, klidový tep, a (v systému iOS) obvod pasu: importované záznamy se ukládají stejně jako ručně zadané tělesné míry, označí se zdrojem a synchronizují s tvým cloudovým účtem stejně jako ostatní tělesné míry,
• denní počty kroků a, pokud jsi v nastavení Wellboy zapnul kalorie z tréninku, denní aktivní energii: zrcadlí se do přehledu aktivity aplikace a výzev, ukládají se pouze na tvém zařízení a nikdy se nesynchronizují,
• vzorky tepové frekvence během tréninku (pouze pokud zapneš tep během tréninku): čtou se živě, aby se během tréninku a po něm zobrazil tvůj tep a odhadované kalorie; samotné vzorky se nikdy neukládají a uchovává se pouze uložené shrnutí tréninku.

Import z úložiště zdraví tvého telefonu je jen pro čtení: telefonní aplikace Wellboy čte pouze výše uvedené typy a do úložiště zdraví nezapisuje.

Doprovodná aplikace Apple Watch: pokud si nainstaluješ volitelnou aplikaci Wellboy pro hodinky a zaznamenáš s ní trénink, hodinky měří trénink prostřednictvím HealthKit a s oprávněními HealthKit, která jim na hodinkách udělíš, uloží trénink s tepem a aktivní energií do Apple Health, takže se trénink započítá do tvých kruhů aktivity. K tomuto zápisu dochází uvnitř tvého vlastního úložiště zdraví na tvých vlastních zařízeních; hodinky trénink, tep ani údaje o energii neodesílají na servery Wellboy.

Odpojit můžeš kdykoli v nastavení operačního systému (iOS: Nastavení > Zdraví > Přístup k datům; Android: aplikace Health Connect) a v nastavení Wellboy lze vypnout volitelnou automatickou synchronizaci doplnění. Zdravotní údaje se nikdy nepoužívají pro reklamu ani marketing a nikdy se nesdílejí se třetími stranami pro jejich vlastní účely.

3.6 Kde ses o nás dozvěděl (volitelná marketingová otázka)

Na konci úvodního nastavení se ptáme, kde ses o Wellboy dozvěděl. Odpověď je volitelná a můžeš pokračovat, aniž něco vybereš. Pokud odpovíš, jedna volba, kterou vybereš (kamarád, Instagram, TikTok, YouTube, Facebook, obchod s aplikacemi, podcast nebo „jiné“), se uloží k tvému profilu (oddíl 4.2) a slouží k pochopení toho, které kanály k Wellboy přivádějí uživatele. Jde o marketingové údaje, nikoli diagnostiku: nejsou součástí hlášení pádů popsaných v oddílu 3.7, na platformu, kterou vybereš, se nic neodesílá, nepoužívají se pro reklamu ani sledování a smažou se s tvým účtem.

3.7 Hlášení pádů a chyb (volitelné, ve výchozím nastavení vypnuté)

K vyhledávání a opravě pádů a skrytých chyb aplikace obsahuje Firebase Crashlytics (Google). Hlášení pádů je ve výchozím nastavení vypnuté a zapne se pouze tehdy, když je povolíš, na stránce úvodního nastavení, která se na ně ptá, nebo později v Nastavení. Nikdy není předem vybrané ani povolené jako vedlejší účinek čehokoli jiného. Dokud je vypnuté, pro tento účel se nic neshromažďuje ani neodesílá.

Pokud je povolíš, Wellboy odesílá službě Google Crashlytics:

• hlášení pádů a nefatálních chyb (chyb, které aplikace zachytila a přežila, například neúspěšný pokus o synchronizaci nebo neúspěšné volání serveru), spolu s technickou trasou chyby,
• model zařízení, verzi operačního systému, verzi aplikace a technický stav zařízení v okamžiku hlášení (například dostupnou paměť),
• identifikátor instalace Crashlytics: náhodné ID instalace aplikace používané ke zjištění, kolika zařízení se problém týká. Nenastavujeme žádný identifikátor, který by hlášení propojil s tvým účtem Wellboy,
• časová razítka,
• u nefatálních chyb malou sadu hodnot technického kontextu: který subsystém aplikace chybu nahlásil, technické kódy důvodů, kódy chyb a stavů HTTP a malé počty. Povolené klíče kontextu tvoří pevný technický seznam povolených hodnot vynucovaný kódem aplikace.

Hlášení pádů a chyb nikdy neobsahují tvůj obsah ani zdravotní údaje: žádné tréninky, jídla, hmotnost ani míry, fotografie, jména, e-mailové adresy ani zprávy trenéra.

Údaje o pádech zpracovává Google ve Spojených státech (Crashlytics nenabízí volbu umístění dat). Jde o záměrnou, zdokumentovanou výjimku z úložiště v EU popsaného v oddílu 4.2 a o jeden z důvodů, proč je tato funkce volitelná. Přenos se opírá o certifikaci společnosti Google LLC podle rámce EU-US Data Privacy Framework, přičemž záložní ochranu tvoří EU Standard Contractual Clauses (oddíl 9).

Hlášení pádů a jejich identifikátory se uchovávají 90 dní a poté se automaticky smažou. Crashlytics nenabízí mazání podle jednotlivých uživatelů: již odeslaná hlášení nelze později selektivně smazat, takže vypnutí hlášení ani smazání účtu Wellboy zpětně neodstraní již odeslaná hlášení; v rámci 90denní lhůty sama zestárnou. Protože se nenastavuje žádný identifikátor propojený s účtem, nelze hlášení vyhledat ani podle uživatele.

Právním základem tohoto zpracování je tvůj souhlas (oddíl 12). Kdykoli jej můžeš odvolat vypnutím hlášení pádů v Nastavení; změna se plně projeví při dalším spuštění aplikace.

3.8 Push oznámení a push token

Oznámení ve Wellboy přicházejí ze dvou různých míst a tento rozdíl je důležitý:

• Připomenutí vytváří tvoje zařízení. Připomenutí tréninků, kombinované večerní připomenutí check-in a kreditů, ranní souhrn a připomenutí hydratace plánuje aplikace místně z údajů, které už jsou v tvém telefonu. Nikdy neopouštějí zařízení a při jejich odesílání se nepodílí žádný server.
• Ze serverů Wellboy přicházejí pouze dva druhy zpráv, doručované prostřednictvím Google Firebase Cloud Messaging (FCM): volitelná cenová upozornění týkající se doživotního nákupu (varování, když je aktuální cenová úroveň téměř naplněná, a oznámení v poslední hodině před jejím uzavřením), která se zobrazí pouze tehdy, pokud jsou pro aplikaci povolena oznámení; a neviditelný signál aktualizace na pozadí, který aplikaci řekne, aby načetla čerstvá data z tvého vlastního účtu (například hned poté, co ti náš server přidělí zkušenostní body). Signál aktualizace se ti nijak nezobrazí a nenese žádný obsah, pouze pokyn k aktualizaci.

Cenová upozornění jsou adresována anonymnímu tématu pro konkrétní měnu (například “price_eur” pro všechny, jejichž ceny v obchodě jsou v eurech), ne konkrétně tobě: server nevybírá příjemce podle účtu.

Pro směrování těchto zpráv má tvoje zařízení registrační token FCM: adresu pro směrování push zpráv vydanou službou Google Firebase Cloud Messaging. Identifikuje instalaci tvé aplikace pro doručování zpráv, nejde o ID tvého účtu a neobsahuje osobní údaje. Aplikace ukládá aktuální token každého zařízení pod údaji tvého účtu (users/{uid}/pushTokens) spolu s platformou (“ios” nebo “android”) a časovými razítky vytvoření/aktualizace a používá jej výhradně k doručování výše popsaných zpráv, nikdy pro reklamu, profilování ani sledování napříč aplikacemi.

Životní cyklus tokenu: operační systém a Firebase SDK token čas od času obnoví a aplikace pak uložený token nahradí. Odhlášení v rámci možností odstraní token zařízení z tvého účtu; pokud Google oznámí, že token již není platný, náš server jej automaticky odstraní; a záznamy tokenu se při smazání účtu odstraní se vším ostatním pod tvým účtem (oddíl 10.3). Token se vytvoří pro signál aktualizace na pozadí i tehdy, když odmítneš oprávnění k oznámením (signál aktualizace nic nezobrazuje, takže operační systém pro něj oprávnění nevyžaduje); odmítnutí oprávnění znamená, že se ti nikdy nezobrazí viditelné oznámení. Push zprávy samy nikdy neobsahují tvůj obsah ani zdravotní údaje.

4. Kde jsou tvá data uložena

4.1 V tvém zařízení

Místní databáze je pracovní kopií všeho, takže základní sledování funguje offline; online funkce (synchronizace, AI, nákupy, sdílení, online vyhledávání produktů) vyžadují připojení. Obrazové soubory (avatar, fotografie receptů, fotografie ze skenování jídel, fotografie pokroku) jsou uloženy v soukromém úložišti aplikace v zařízení.

4.2 V našem cloudu (synchronizované kolekce)

Když je zařízení online, aplikace synchronizuje následující obsah do služby Cloud Firestore (region europe-north1, Finsko), kterou Google provozuje jako náš zpracovatel. Data každého uživatele jsou uložena pod jeho vlastním soukromým ID účtu:

Poznámky k obrázkům:

• Avatary a fotografie receptů a pokroku se synchronizují jako malé komprimované datové bloky obrázků, takže se přenesou na nové zařízení. Smazání jednoho z nich také odstraní bajty obrázku ze serveru.
• Fotografie ze skenování jídel se nesynchronizují: zůstávají pouze v tvém zařízení jako miniatury karet jídel. Záznam jídla synchronizuje cestu k souboru fotografie jako textová metadata, ale bajty obrázku se nikdy neodešlou.

Kromě synchronizovaného obsahu náš server uchovává pod tvým účtem také drobné provozní záznamy: záznamy požadavků AI (oddíl 5.5), požadavky na podporu (oddíl 8), stav členství Pro (oddíl 6) a tokeny pro směrování push oznámení tvých zařízení (oddíl 3.8).

4.3 Nikdy nesynchronizováno (pouze v zařízení)

Historie chatu s trenérem, nákupní seznamy, denní počty kroků a aktivní energie, stav vodní výzvy, nastavení aplikace kromě profilu (včetně polí země/město a cesty k profilové fotografii), fotografie ze skenování jídel a rozpracované návrhy jídel zůstávají v tvém zařízení a neodesílají se.

4.4 Řízení přístupu

Přístup k naší databázi řídí bezpečnostní pravidla s výchozím zamítnutím: číst nebo zapisovat tvůj synchronizovaný obsah mohou pouze požadavky ověřené pod tvým účtem a serverové záznamy popsané v těchto zásadách (například události nákupů a veřejné snímky sdílení) lze číst pouze v rozsahu popsaném v jejich příslušných oddílech. Pravidla jsou pod správou verzí a mění se pouze výslovným nasazením.

5. Funkce AI (OpenAI)

Všechny požadavky AI procházejí vlastním serverem Wellboy (službou Google Cloud Function v EU), který uchovává klíč API AI jako tajný údaj serveru, kontroluje limity využití tvého plánu a předává ke zpracování OpenAI pouze potřebný vstup. Protože požadavek OpenAI odesílá náš server, OpenAI obdrží síťovou adresu serveru místo tvé IP adresy a Wellboy do požadavku nepřidává ID tvého účtu (text, který zadáš, se odesílá tak, jak je, takže do něj nezadávej identifikátory, které nechceš odeslat). Požadavky se odesílají s vypnutým ukládáním stavu aplikace OpenAI (“store: false”), což náš server vynucuje u každého požadavku; OpenAI může podle vlastních podmínek uchovávat protokoly API pro monitorování zneužití (obvykle až 30 dnů). Wellboy ani OpenAI nepoužívá tvé vstupy k trénování modelů AI.

5.1 Skenování fotografií jídel

Při skenování jídla se fotografie v zařízení obvykle ořízne na vycentrovaný čtverec a zmenší (přibližně 768 px); pokud toto zpracování selže, odešle se místo ní původní fotografie. Odesílá se obrázek spolu s nepovinným názvem nebo poznámkami, které zadáš, aby bylo možné odhadnout výživové hodnoty. Odhad se uloží do záznamu jídla. Fotografie sama zůstává pouze v tvém zařízení jako miniatura karty jídla; Wellboy ji nenahrává do úložiště spravovaného Wellboyem.

5.2 Chat s trenérem

Zprávy, které napíšeš trenérovi AI, se odesílají ke zpracování spolu s několika posledními zprávami konverzace. Trenér si může vyžádat data aplikace, ale data se sdílejí pouze po tvém výslovném schválení konkrétní karty žádosti v chatu. Po schválení se v zařízení vytvoří a odešle stručné textové shrnutí (nedávných tréninků, výživy schválených dnů, spánku, tělesných měr nebo šňůry); ze zařízení odchází přesně text shrnutí, který se zobrazí a uloží v chatu, nikdy nezpracovaná databáze. Historie chatu se ukládá pouze v zařízení a neodesílá se jako konverzace; odpověď trenéra na každou zpoplatněnou zprávu se však uchovává v serverovém záznamu požadavku AI popsaném v oddílu 5.5.

5.3 Generování tréninku

Pokud použiješ generování tréninku pomocí AI, odešle se tvůj seznam vybavení, úroveň zkušeností a volby v generátoru (čas, místo, zaměření, nepovinná přání ve volném textu) za účelem sestavení návrhu tréninku.

5.4 Limity využití a účtování

Akce AI spotřebovávají virtuální kredity v aplikaci v rámci bezplatného plánu a jako opatření proti zneužití podléhají u obou plánů denním i měsíčním limitům (limity férového používání Pro jsou zveřejněny v Podmínkách použití a aplikace zobrazuje počet tvých zbývajících použití). Účtování a vrácení kreditů se zaznamenávají v evidenci kreditů tvého účtu.

5.5 Záznamy požadavků AI na našem serveru

Aby bylo možné účtovat správně, náš server uchovává v tvém účtu pro každou zpoplatněnou akci AI malý záznam požadavku AI: použitou funkci AI, stav, cenu, časová razítka a AI výsledek (například vygenerovaný trénink, odhad ze skenu nebo odpověď trenéra). Text tvého zadání ani fotografie se v těchto záznamech nikdy neukládají. Protokoly aplikace Wellboy pro AI jsou navrženy tak, aby neobsahovaly tvá zadání, fotografie ani výsledky; obsahují identifikátory (ID účtu a požadavku), stav, latenci a počty tokenů. Záznamy požadavků se mažou spolu s tvým účtem.

6. Nákupy (Wellboy Pro)

• Platby za Wellboy Pro (předplatná a doživotní nákupy) zpracovává App Store společnosti Apple nebo Google Play podle jejich vlastních podmínek. Nikdy neobdržíme údaje tvé platební karty ani bankovní údaje.
• Jako zpracovatele správy nákupů používáme RevenueCat, Inc. (USA). RevenueCat obdrží náhodné ID tvého účtu Wellboy, potvrzení o nákupu/token z obchodu a historii nákupů v této aplikaci spolu se základními technickými údaji, které shromažďuje jeho SDK (model a typ zařízení, verze operačního systému, verze aplikace a časová razítka posledního zaznamenání), a sděluje nám, které členství je aktivní. Pokud jsi použil/a kód tvůrce, připojí se tento kód k nákupu. RevenueCat neposíláme tvé jméno, e-mail ani obsah.
• Náš server prostřednictvím RevenueCat přijímá události nákupů (produkt, cena, měna, čas, ID účtu) a ukládá stav tvého členství v účtu spolu s protokolem událostí používaným pro účetnictví, prevenci podvodů a přiřazování prodejů ke kódům tvůrců. Tvůrci k těmto záznamům nemají přímý přístup; případné přehledy prodejů, které tvůrcům poskytujeme, neobsahují ID účtů a obsahují pouze agregované údaje.
• Obchody s aplikacemi také uchovávají historii tvých nákupů podle vlastních zásad ochrany osobních údajů (Apple a Google jednají jako samostatní správci platební transakce).

7. Zpracování, které zůstává především v tvém zařízení

• Výzva v klikování: Snímky z kamery se analyzují v zařízení pomocí detekce póz ML Kit. Nikde se nepřenáší žádné video ani snímky; samotná knihovna ML Kit hlásí Googlu technickou telemetrii (oddíl 3.4), nikdy však tvé obrázky ani výsledky detekce póz. Nepovinný záznam obrazovky se ukládá pouze do tvé vlastní knihovny fotografií.
• Skenování čárových kódů: Detekce probíhá v zařízení; odesílají se pouze číslice čárového kódu, především do našeho vlastního zrcadla produktů (food.wellboy.net), přičemž Open Food Facts (a u uživatelů na trhu USA USDA FoodData Central) slouží jako záložní zdroje, když zrcadlo nemá použitelný produkt. Výsledky z mezipaměti se poskytují bez jakéhokoli síťového požadavku.
• Textové vyhledávání potravin: Obecná databáze potravin (založená na otevřených datech Fineli a USDA) je součástí aplikace, takže vyhledávání potravin probíhá zcela v zařízení a nic se nepřenáší.
• Denní kroky: Počty kroků načtené z tvého úložiště zdraví se v zařízení zobrazují a vyhodnocují pro výzvy a zůstávají tam.

8. Sdílení, doporučení a podpora

8.1 Sdílecí kódy

Vytvořením sdílecího kódu zveřejníš neměnný snímek vybraného obsahu (receptu, tréninku, regeneračního tréninku nebo programu včetně komprimovaných obrázků) pod náhodným kódem ve veřejné části naší databáze. Kdokoli, kdo má tento kód, si může tento snímek zobrazit a importovat. Snímky se neaktualizují, když později upravíš originál.

Když někdo uplatní tvůj kód, zaznamenáme ID účtu, který jej uplatnil, a čas, abychom mohli počítat jednotlivá uplatnění. Vidíš počty, nikoli identity.

V Nastavení > Moje sdílecí kódy můžeš své kódy kdykoli deaktivovat (a znovu aktivovat). Deaktivované kódy už nelze zobrazit ani uplatnit.

8.2 Sdílení a smazání účtu

Smazáním účtu se také trvale smažou veřejné sdílecí snímky, které jsi zveřejnil/a (snímek, jeho obrázky a záznamy o uplatnění) jako součást kaskády mazání popsané v oddílu 10.3. Obsah, který už jiní uživatelé importovali z tvých kódů, zůstává v jejich účtech (při importu se stal jejich kopií).

8.3 Doporučení přátel

Pokud vytvoříš kód kamaráda nebo jej zadáš, uložíme kód, ID účtů osoby, která doporučila, a osoby, která byla doporučena, a stav odměny, aby bylo možné odměnu za doporučení přiznat jednou každé straně. Kódy kamarádů jsou identifikátory, které sdílíš podle svého rozhodnutí, nikoli tajné údaje. Záznamy doporučení se smažou v kaskádě mazání účtu.

8.4 Žádosti o podporu (Kontaktovat nás)

Když odešleš zprávu přes Nastavení > Kontaktovat nás, uložíme požadavek v tvém účtu a přepošleme ho e-mailem na naši adresu podpory; kopie v naší odesílací frontě se smaže po 30 dnech. Požadavek obsahuje tvou zprávu, nepovinný kontaktní e-mail a u požadavků týkajících se cviků také nepovinný odkaz na referenční video, který poskytneš, a dále diagnostické údaje, jejichž rozsah závisí na typu požadavku: požadavky na funkce a cviky obsahují stručnou sadu (verzi aplikace, typ sestavení, platformu a verzi operačního systému, jazyk aplikace), zatímco hlášení chyb a žádosti o pomoc obsahují navíc model zařízení, časové pásmo zařízení, nastavení regionu a jazyka (locale), jednotky a motiv, nastavení oznámení a synchronizace zdraví, ID tvého účtu, typ poskytovatele přihlášení, e-mail účtu, stav Pro/úrovně/kreditů, stav synchronizace a počty (pouze čísla, nikdy obsah) hlavních typů tvých dat. Hlášení chyb navíc připojují až 12 zkrácených jednorádkových chybových zpráv z aktuální relace aplikace. Odesílání podléhá rychlostnímu limitu, aby se zabránilo zneužití. Pokud požadavek nelze odeslat, aplikace místo toho nabídne předvyplněný e-mail na adresu [email protected]; e-mail pak putuje mimo aplikaci.

8.5 Systémová nabídka sdílení

Obsah, který odešleš prostřednictvím nabídky sdílení operačního systému (například export dat nebo sdílecí kód), se předá aplikaci, kterou vybereš, a je mimo naši kontrolu.

9. Služby třetích stran

Mezinárodní přenosy: Správce je usazen v EU a tvůj synchronizovaný obsah se ukládá v EU (europe-north1). Někteří naši zpracovatelé sídlí v USA (OpenAI pro funkce AI; RevenueCat pro správu nákupů; Cloudflare pro zrcadlo potravin a mediální CDN) a Google může podle podmínek zpracování dat Google Cloud zpracovávat omezená technická data na jiných místech. Pokud povolíš hlášení pádů (oddíl 3.7), Google zpracovává data o pádech ve Spojených státech; tento přenos se opírá o certifikaci společnosti Google LLC podle rámce EU-US Data Privacy Framework, přičemž jako záložní záruka slouží standardní smluvní doložky EU. Doručování push zpráv (oddíl 3.8) probíhá v globální infrastruktuře Google Firebase Cloud Messaging, takže push tokeny a data o směrování zpráv mohou být podle stejných podmínek zpracování dat Google Cloud zpracovávána mimo EU. Tyto přenosy se opírají o podmínky zpracování dat poskytovatelů, standardní smluvní doložky EU a případně rámec EU-US Data Privacy Framework. O kopii záruk používaných pro tyto přenosy (například příslušných standardních smluvních doložek) můžeš požádat na adrese [email protected].

10. Uchovávání, výmaz a export

10.1 Mazání obsahu

Tvůj obsah uchováváme, dokud jej nesmažeš nebo dokud nesmažeš svůj účet. Když smažeš jednotlivou položku, zůstane zachována minimální značka výmazu (bez obsahu), aby se tvoje zařízení při synchronizaci shodla na výmazu; značky se smažou s tvým účtem. Bajty smazaných obrázků se také vymažou ze serveru.

10.2 Odhlášení

Odhlášení vrátí aplikaci v daném zařízení do továrního stavu. Synchronizovaná data zůstanou v tvém cloudovém účtu a vrátí se, když se znovu přihlásíš. Do anonymních účtů se nelze znovu přihlásit: Pokud Wellboy používáš bez registrace a odhlásíš se nebo zařízení ztratíš, přístup k těmto datům se trvale ztratí.

10.3 Mazání účtu

Nastavení > Účet > Smazat účet trvale odstraní tvé zveřejněné snímky pro sdílení, záznamy o doporučeních přátel a vše uložené pod tvým účtem (všechny synchronizované kolekce v oddílu 4.2, záznamy požadavků AI, požadavky na podporu, stav členství, push tokeny), odstraní tvůj autentizační záznam a vymaže místní kopii v zařízení. Tuto akci nelze vrátit zpět. Technický záznam úlohy výmazu (ID tvého účtu a časová razítka průběhu, bez obsahu) se uchovává 7 dní po dokončení, aby se ověřilo dokončení výmazu, a poté se automaticky odstraní. Záznamy o nákupech vedené společnostmi Apple, Google a RevenueCat a naše záznamy nákupních událostí a prodejů tvůrců (oddíl 6) se po výmazu účtu uchovávají podle příslušných zásad a zákonných povinností uchovávání (účetnictví a prevence podvodů). Hlášení pádů a chyb již odeslaná do Crashlytics (oddíl 3.7) nelze selektivně vymazat a nejsou propojena s tvým účtem; automaticky se odstraní po uplynutí jejich 90denní doby uchovávání.

10.4 Export

Na stránce Účet je akce Exportovat data, která vytvoří soubor ZIP obsahující tvá data ve formátu JSON (veškerý synchronizovaný obsah a nastavení aplikace) a tvé dostupné obrazové soubory aplikace (avatar, fotografie receptů, fotografie pokroku a fotografie jídel uložené ve vlastním úložišti aplikace) a otevře systémový panel sdílení, kde je můžeš uložit, kam chceš.

Export neobsahuje data, která žijí pouze v zařízení a nikdy se nesynchronizují: historii chatu s trenérem, nákupní seznamy, denní počty kroků a aktivní energii, stav vodní výzvy a rozpracované koncepty. Neobsahuje ani provozní záznamy na straně serveru popsané v těchto zásadách (záznamy požadavků AI, požadavky na podporu, nákupní události, push tokeny); požadavky na podporu odeslané tebou jsou cloudové záznamy, které se smažou s tvým účtem.

11. Tvá práva

Protože je správce usazen ve Finsku, GDPR se na naše zpracování vztahuje bez ohledu na to, kde žiješ, a podle práva své země můžeš mít i další práva. Máš právo:

• mít přístup k tvým údajům (export v aplikaci zahrnuje synchronizovaný obsah),
• opravit je (většinu obsahu zadaného v aplikaci lze upravit; u záznamů, které v aplikaci upravit nejdou, jako jsou řádky účetní knihy, kontaktuj nás na [email protected]),
• vymazat je (smaž položky nebo celý účet v aplikaci),
• přenést své údaje (export ZIP/JSON),
• vznést námitku z důvodů týkajících se tvé konkrétní situace proti zpracování založenému na našich oprávněných zájmech (oddíl 12) a omezit zpracování v případech stanovených GDPR,
• odvolat souhlas, pokud je zpracování založeno na souhlasu (například sdílení údajů s trenérem schvaluješ pro každý požadavek; hlášení pádů je vypnuto v Nastavení, oddíl 3.7; přístup ke zdravotním aplikacím, fotoaparátu, fotografiím, oznámením a oprávnění k poloze lze změnit v nastavení operačního systému). Odvolání souhlasu nemá vliv na zákonnost již provedeného zpracování. Odpojením zdravotní aplikace zastavíš nové importy; již importovaná data zůstanou v tvém účtu, dokud je nevymažeš,
• podat stížnost u dozorového úřadu. Naším vedoucím dozorovým úřadem je Úřad ombudsmana pro ochranu údajů ve Finsku (tietosuoja.fi), protože správce je usazen ve Finsku; stížnost můžeš podat také úřadu ve své zemi pobytu.

Chceš-li uplatnit právo, které nepokrývají nástroje v aplikaci, kontaktuj nás na [email protected].

12. Právní základy (GDPR)

Tvé datum narození potřebujeme ke kontrole minimálního věku při nastavení aplikace a k nákupu jsou potřeba údaje, které shromažďuje platební proces obchodu; bez nich nelze dokončit registraci ani nákup. Všechno ostatní, co přidáš, je dobrovolné: funkce jednoduše fungují i bez údajů, které neuvedeš.

13. Bezpečnost

Údaje jsou šifrovány při přenosu (TLS) i při uložení (šifrování spravované Googlem). Přístup omezují bezpečnostní pravidla pro jednotlivé uživatele s výchozím zamítnutím. Většina uživatelského rozhraní aplikace čte místní kopii tvých dat (ceny v nabídce a stav členství se čtou ze serveru); cloud je jinak pouze cílem synchronizace, což minimalizuje cesty vedoucí k vystavení dat. Zůstatky virtuálních kreditů a EXP určuje server. Protokoly naší AI aplikace jsou navrženy tak, aby nezachycovaly tvá zadání, fotografie a výsledky (oddíl 5.5); ostatní protokoly serveru mohou obsahovat identifikátory a technické podrobnosti požadavků a používají se pro provoz a prevenci zneužití. Nepoužíváme kód reklam třetích stran ani produktovou analytiku třetích stran (komponenty Google SDK hlásí omezenou technickou telemetrii, oddíl 3.4). Hlášení pádů a chyb je volitelné a ve výchozím nastavení vypnuté (oddíl 3.7).

14. Děti

Wellboy je určen uživatelům ve věku 13 let a více; tam, kde je vnitrostátní věk digitálního souhlasu vyšší, platí vyšší věková hranice (v EU/EHP 13 až 16 let; například 13 let ve Finsku a 16 let v Německu, Irsku a Nizozemsku). Aplikace si vyžádá datum narození a při úvodním nastavení, v Nastavení i v jednorázové výzvě pro účty vytvořené před zavedením věkové kontroly nepřijme datum narození znamenající věk nižší než minimum platné v místě tvého bydliště. Neexistuje možnost souhlasu rodiče: pokud jsi mladší než místní minimální věk, aplikaci nemůžeš používat, takže vědomě neshromažďujeme údaje dětí mladších této hranice.

Fotografie pokroku jsou určeny uživatelům od 18 let. Pokud ti ještě nebylo 18 let, funkce fotografií pokroku se ti nenabízí a žádná fotografie pokroku se neuloží do tvého zařízení, nesynchronizuje s tvým účtem ani se nikam nenahraje. Všechny ostatní funkce fungují běžně.

15. Změny těchto zásad

Aktualizace zveřejníme na https://wellboy.app/privacy a v aplikaci upozorníme na podstatné změny, než nabydou účinnosti.

16. Jazyk

Tyto zásady jsou vypracovány a udržovány v angličtině; překlady jsou pro tvé pohodlí vytvářeny z anglického textu. Pokud se překlad liší od anglického textu, anglický text je verzí, kterou udržujeme a podle níž opravujeme překlady, a snažíme se, aby každá zveřejněná jazyková verze byla věcně přesná.

17. Kontakt

Pankka Group Oy Sukkulatie 10, 87700 Kajaani, Finsko Business ID 3397011-8 [email protected]