Wellboyn tietosuojaseloste

Voimaantulopäivä: ei vielä voimassa (luonnos).

1. Keitä olemme

Wellboyta ylläpitää Pankka Group Oy, Suomessa rekisteröity osakeyhtiö (Y-tunnus 3397011-8), Sukkulatie 10, 87700 Kajaani, Suomi. Pankka Group Oy on tässä selosteessa kuvattujen henkilötietojen rekisterinpitäjä.

Tietosuoja-asioiden yhteysosoite: [email protected]

Tässä selosteessa “Wellboy”, “me” ja “meidän” tarkoittavat Pankka Group Oy:tä ja “sovellus” Wellboy-sovellusta (iOS-, Android- ja työpöytäversiot).

2. Yhteenveto selkokielellä

• Sovellus on offline-first: datasi asuu laitteesi paikallisessa tietokannassa ja perusseuranta toimii ilman verkkoyhteyttä. Synkronointi, tekoälytoiminnot, ostot, jakaminen ja verkosta haettavat tuotetiedot tarvitsevat yhteyden.
• Verkossa sisältösi synkronoituu pilvitietokantaamme (Google Cloud Firestore) EU-alueelle europe-north1 (Suomi), yksityisen tilitunnisteen alle, jota vain oma kirjautunut tilisi voi lukea tai kirjoittaa.
• Aloitat automaattisesti anonyymillä tilillä ja rekisteröit kirjautumistavan (Apple, Google tai sähköposti) käyttöönoton lopussa, jotta datasi säilyy laitteelta toiselle.
• Tekoälytoiminnot (aterian kuvaskannaus, valmentajan chat, treenien generointi) lähettävät tarvittavan syötteen Wellboyn omien palvelimien kautta OpenAI:lle käsiteltäväksi. Sovellus kutsuu omaa palvelintamme, ja tekoälyn API-avainta säilytetään palvelinsalaisuutena. Pyynnöt lähetetään OpenAI:n sovellustilatallennus poissa käytöstä; OpenAI voi säilyttää API-lokeja väärinkäytösvalvontaan omien ehtojensa mukaan (tyypillisesti enintään 30 päivää), eivätkä Wellboy tai OpenAI käytä syötteitäsi tekoälymallien kouluttamiseen.
• Voit halutessasi yhdistää Apple Healthin (HealthKit) tai Health Connectin (Android). Tuonti Wellboy-sovellukseen on vain lukeva. Jos käytät valinnaista Apple Watch -kumppanisovellusta treenin kirjaamiseen, kello tallentaa treenin (sykkeineen ja aktiivienergioineen) Apple Healthiin omilla laitteillasi; se ei lähetä näitä tietoja Wellboyn palvelimille (kohta 3.5).
• Wellboy Pro -ostojen maksun käsittelee Apple tai Google; emme koskaan näe korttitietojasi. RevenueCat käsittelee ostokuitit puolestamme.
• Sovelluksessa ei ole mainoksia eikä kolmannen osapuolen tuoteanalytiikkaa tässä versiossa. Sovelluksen käyttämät Googlen SDK-komponentit (ML Kit, Firebase) raportoivat Googlelle rajattua teknistä telemetriaa (kohdat 3.4 ja 9).
• Kaatumisraportointi on valinnainen ja oletuksena pois. Jos otat sen käyttöön, kaatumis- ja virheraportit (vain teknistä dataa, ei koskaan sisältöäsi) lähetetään Google Firebase Crashlyticsiin ja käsitellään Yhdysvalloissa. Voit kytkeä sen pois milloin tahansa asetuksista (kohta 3.7).
• Muistutusilmoitukset ajastetaan laitteellasi eivätkä ne koskaan lähde siltä. Ainoat palvelimiemme lähettämät viestit ovat valinnaiset lifetime-oston hintahälytykset ja näkymätön signaali, joka kehottaa sovellusta päivittämään oman datansa (kohta 3.8).
• Valmentajan chat-historia, ostoslistat, päivittäiset askelmäärät ja useimmat sovellusasetukset eivät koskaan siirry pilvitilillesi. Myös ateriaskannauskuvat pysyvät laitteellasi. Valmentajan vastaus jokaiseen veloitettuun viestiin säilyy palvelimen tekoälypyyntötietueessa (kohta 5.5).
• Jakokoodit julkaisevat jaetusta sisällöstä jäädytetyn, julkisen tilannekuvan, jota kuka tahansa koodin haltija voi katsoa.
• Voit viedä datasi ZIP-tiedostona (JSON + kuvatiedostosi) ja poistaa tilisi (kaikkine synkronoituine tietoineen) suoraan sovelluksessa.

3. Mitä tietoja keräämme

3.1 Tilitiedot

• Anonyymi tili (satunnainen tilitunniste) luodaan automaattisesti, kun sovellus ensimmäisen kerran muodostaa yhteyden, ja käyttöönotto pyytää sinua rekisteröimään kirjautumistavan.
• Kun rekisteröit tai liität kirjautumistavan, tallennamme palveluntarjoajan antamat tunnisteet: sähköpostiosoitteesi ja palvelukohtaiset tilitunnisteet (Kirjaudu Applella, Google-kirjautuminen tai sähköposti + salasana) sekä sähköpostin vahvistustilan. Jos palveluntarjoaja jakaa sen, voimme saada myös kyseiseen tiliin liitetyn nimen (esimerkiksi Kirjaudu Applella -palvelusta).
• Emme tarjoa puhelin-/SMS-kirjautumista.

3.2 Lisäämäsi sisältö (terveys- ja kuntoilutiedot)

Käyttämistäsi ominaisuuksista riippuen tämä voi sisältää:

• ateriat ja ravintokirjaukset (ruoat, annokset, energia, makroravinteet), nesteytyksen, päivittäiset check-in-yhteenvedot ja ravintotavoitteet,
• tavoitteesi (päätavoitteet, tavoitepaino, viikoittainen treenitavoite, arkiaktiivisuustaso),
• unen laatukirjaukset,
• treenit: omat treenipohjasi, suoritetut sessiot (sarjat, painot, toistot, ajat, matkat), aikataulutetut treenit ja harjoitusohjelmat,
• reseptit ja keittokirjasisällön, mukaan lukien reseptikuvat,
• ostoslistat (vain laitteella),
• kehonmittaukset ja edistymiskuvat (edistymiskuvat ovat käytettävissä vain vähintään 18-vuotiaille, ks. kohta 14),
• Apple Healthista tai Health Connectista tuodut tiedot (kohta 3.5),
• haastetulokset (esimerkiksi punnerrushaasteen tulokset),
• putket, kokemuspisteet (XP), virtuaalikrediittien historian ja krediittilunastusten kuitit,
• jakotietueet (metatiedot luomistasi jakokoodeista) ja kaverikutsutietueet (kohta 8.3),
• valinnaisen avatar-kuvan,
• valmentajan chat-viestit (tallennetaan vain laitteellesi),
• profiilisi: nimi, sukupuoli ja syntymäaika (käytetään kalorilaskentaan, valmentajan personointiin ja vähimmäisiän tarkistukseen; ikääsi ei koskaan tallenneta, se lasketaan lennossa).

Suuri osa tästä on terveyteen liittyvää tietoa. Käsittelemme sitä kaikkea oletuksena yksityisenä ja tallennamme sitä vain palvelun tarjoamiseksi sinulle.

3.3 Asetukset

Yksiköt, kieli, teema, ilmoitusasetukset, treenioletukset, valinnainen karkea sijainti maa-/kaupunkitasolla ja valinnainen profiilikuvan polku tallennetaan vain laitteellesi (ks. 4.3). Poikkeuksena ovat nimi, sukupuoli ja syntymäaika, jotka synkronoituvat pilvitilillesi profiilinasi (yhdessä käyttöönoton valmistumista kuvaavan merkinnän ja, jos vastasit siihen, valinnaisen “mistä kuulit meistä” -valintasi kanssa, kohta 3.6), jotta ne seuraavat sinua uudelle laitteelle.

Sijainnista tarkemmin: voit kirjoittaa maan ja kaupungin itse tai antaa käyttöjärjestelmän karkean sijainnin luvan. Sovellus ei koskaan pyydä tarkkaa GPS-sijaintia. Sijaintia käytetään vain alueelliseen sisältöön.

3.4 Automaattisesti kerättävät tiedot

• Sovelluksessa ei ole mainoskirjastoja eikä kolmannen osapuolen tuoteanalytiikkakirjastoja. Sovelluksen käyttämät Googlen SDK-komponentit (ML Kit -asennontunnistus, Firebase) raportoivat Googlelle rajattua teknistä telemetriaa (laite-, sovellus-, konfiguraatio-, suorituskyky- ja virhetietoja; ks. kohta 9).
• Google-palvelujen käyttö paljastaa väistämättä tavanomaiset tekniset tiedot (IP-osoite, laitetiedot, aikaleimat) Googlelle palveluntarjoajanamme, kun sovellus käyttää kirjautumis-, tietokanta- tai palvelinpäätepisteitä.
• Sovellus käyttää Firebase App Check -laiteattestointia, jonka avulla varmistetaan, että pyynnöt tulevat aidosta, muokkaamattomasta Wellboy-sovelluksesta. Attestointi välittää Applen tai Googlen myöntämän eheystodisteen; se ei tunnista sinua henkilönä.
• Päivärajojen reiluun valvontaan aikavyöhykkeiden yli palvelimemme tallentaa tilillesi laitteesi tuoreimman IANA-aikavyöhykenimen (esimerkiksi “Europe/Helsinki”) ja käyttää sitä (tai Europe/Helsinkiä, jos vyöhykettä ei ole tallennettu) päivärajojen laskentaan. Aikavyöhyke on karkea alueellinen signaali, ei sijaintijälki.
• Viivakoodiskannaus lähettää vain viivakoodin numerot omaan tuotepeilipalveluumme (food.wellboy.net, Cloudflarella). Jos peili ei palauta käyttökelpoista tuotetta (tuntematon koodi, puuttuvat ravintoarvot tai peilin virhe), numerot lähetetään Open Food Factsille ja US-markkinan käyttäjillä USDA FoodData Centralille varahakuina. Jokainen palvelu näkee pyynnön osana väistämättä IP-osoitteesi; tilitunnistetta ei lähetetä. Ravintoarvot sisältävä tulos tallentuu laitteen välimuistiin 30 päiväksi, joten saman tuotteen toistuva skannaus ei tee verkkopyyntöä.
• Liikkeiden esittelyvideot suoratoistetaan CDN-palvelustamme (cdn.wellboy.net), joka näkee tavanomaiset verkkopyyntölokit.
• Valinnainen kaatumis- ja virheraportointi on oletuksena pois ja kuvataan kohdassa 3.7; kun se on pois, siihen ei kerätä mitään.
• iOS:llä ja Androidilla sovellus rekisteröi push-reititystokenin Googlen Firebase Cloud Messagingiin, jotta palvelimemme voi toimittaa kohdassa 3.8 kuvatut viestit. Token tallennetaan tilillesi ja se luodaan myös silloin, kun et anna näkyvien ilmoitusten lupaa (se kantaa myös näkymättömän päivityssignaalin).

3.5 Terveyssovellusten tuonti (Apple Health / Health Connect)

Jos yhdistät Wellboyn Apple Healthiin (iOS) tai Health Connectiin (Android), sovellus lukee luvallasi vain näitä tietotyyppejä:

• paino, rasvaprosentti, rasvaton massa, leposyke ja (iOS:llä) vyötärönympärys: tuodut kirjaukset tallennetaan kuten käsin syötetyt kehonmittaukset, merkitään lähteellään ja ne synkronoituvat pilvitilillesi muiden kehonmittausten tapaan,
• päivittäiset askelmäärät ja, jos olet ottanut treenikalorit käyttöön Wellboyn asetuksista, päivittäinen aktiivienergia: peilataan sovelluksen aktiivisuusnäkymään ja haasteisiin, tallennetaan vain laitteellesi, ei koskaan synkronoida,
• sykenäytteet treenin aikana (vain jos otat treenisykkeen käyttöön): luetaan reaaliajassa sykkeen ja arvioitujen kalorien näyttämiseksi session aikana ja sen jälkeen; itse näytteitä ei koskaan tallenneta; vain tallentamasi treeniyhteenveto säilyy.

Tuonti puhelimesi terveysvarastosta on vain lukeva: Wellboyn puhelinsovellus lukee vain yllä luetellut tietotyypit eikä kirjoita terveysvarastoosi.

Apple Watch -kumppanisovellus: jos asennat valinnaisen Wellboyn kellosovelluksen ja kirjaat treenin sillä, kello mittaa session HealthKitin kautta ja tallentaa treenin sykkeineen ja aktiivienergioineen Apple Healthiin kellolla myöntämilläsi HealthKit-luvilla, jolloin treeni näkyy myös Applen aktiivisuusrenkaissa. Kirjoitus tapahtuu omaan terveysvarastoosi omilla laitteillasi; kello ei lähetä treeni-, syke- tai energiatietoja Wellboyn palvelimille.

Voit katkaista yhteyden milloin tahansa käyttöjärjestelmän asetuksista (iOS: Asetukset > Terveys > Datan käyttö; Android: Health Connect -sovellus), ja valinnaisen automaattisen täydennyssynkan voi kytkeä pois Wellboyn asetuksista. Terveystietoja ei koskaan käytetä mainontaan tai markkinointiin eikä jaeta kolmansille osapuolille niiden omiin tarkoituksiin.

3.6 Mistä kuulit meistä (valinnainen markkinointikysymys)

Käyttöönoton lopussa kysymme, mistä kuulit Wellboysta. Vastaaminen on vapaaehtoista ja voit jatkaa valitsematta mitään. Jos vastaat, valitsemasi yksi vaihtoehto (kaveri, Instagram, TikTok, YouTube, Facebook, sovelluskauppa, podcast tai “muu”) tallennetaan profiilisi yhteyteen (kohta 4.2) ja sitä käytetään sen ymmärtämiseen, mitä kautta käyttäjät löytävät Wellboyn. Tämä on markkinointidataa, ei diagnostiikkaa: se ei ole osa kohdassa 3.7 kuvattuja kaatumisraportteja, valitsemallesi alustalle ei lähetetä mitään, sitä ei käytetä mainontaan tai seurantaan, ja se poistetaan tilisi mukana.

3.7 Kaatumis- ja virheraportointi (valinnainen, oletuksena pois)

Kaatumisten ja piilevien virheiden löytämiseksi ja korjaamiseksi sovelluksessa on Firebase Crashlytics (Google). Kaatumisraportointi on oletuksena pois ja käynnistyy vain, jos otat sen itse käyttöön: joko käyttöönoton sivulla, joka kysyy siitä, tai myöhemmin asetuksista. Sitä ei koskaan esivalita eikä se kytkeydy päälle minkään muun toiminnon sivuvaikutuksena. Kun se on pois, tähän tarkoitukseen ei kerätä eikä lähetetä mitään.

Jos otat sen käyttöön, Wellboy lähettää Google Crashlyticsiin:

• kaatumisraportit ja ei-fataalit virheraportit (virheet, jotka sovellus otti kiinni ja joista se selvisi, esimerkiksi epäonnistunut synkronointiyritys tai epäonnistunut palvelinkutsu) virheen teknisine jälkineen,
• laitemallin, käyttöjärjestelmän version, sovellusversion ja laitteen teknisen tilan raportin hetkellä (esimerkiksi vapaan muistin),
• Crashlytics-asennustunnisteen: sovellusasennuksen satunnaisen tunnisteen, jolla lasketaan montaako laitetta ongelma koskee. Emme aseta mitään tunnistetta, joka yhdistäisi raportin Wellboy-tiliisi,
• aikaleimat,
• ei-fataaleissa virheissä pienen joukon teknisiä kontekstiarvoja: minkä sovelluksen osajärjestelmän virhe on, tekniset syykoodit, virhe- ja HTTP-statuskoodit sekä pienet lukumäärät. Sallitut kontekstiavaimet ovat sovelluksen koodissa pakotettu kiinteä tekninen sallittujen lista.

Kaatumis- ja virheraportit eivät koskaan sisällä sisältöäsi tai terveystietojasi: ei treenejä, ei aterioita, ei painoa tai mittauksia, ei kuvia, ei nimiä, ei sähköpostiosoitteita eikä valmentajan viestejä.

Google käsittelee kaatumisdatan Yhdysvalloissa (Crashlytics ei tarjoa datan sijainnin valintaa). Tämä on tietoinen, kirjattu poikkeus kohdassa 4.2 kuvattuun EU-säilytykseen ja yksi syy siihen, että ominaisuus on opt-in. Siirto nojaa Google LLC:n sertifiointiin EU-USA Data Privacy Framework -järjestelyssä, ja EU:n vakiosopimuslausekkeet ovat varasuojatoimi (kohta 9).

Kaatumisraportit tunnisteineen säilytetään 90 päivää, minkä jälkeen ne poistuvat automaattisesti. Crashlyticsissä ei ole käyttäjäkohtaista poistoa: jo lähetettyjä raportteja ei voi poistaa jälkikäteen valikoiden, joten raportoinnin kytkeminen pois tai Wellboy-tilisi poistaminen ei poista takautuvasti jo lähetettyjä raportteja; ne vanhenevat 90 päivän jaksonsa kuluessa. Koska tiliin yhdistävää tunnistetta ei aseteta, raportteja ei myöskään voi hakea käyttäjän perusteella.

Käsittelyn oikeusperuste on suostumuksesi (kohta 12). Voit peruuttaa sen milloin tahansa kytkemällä kaatumisraportoinnin pois asetuksista; muutos tulee täysimääräisesti voimaan, kun sovellus käynnistyy seuraavan kerran.

3.8 Push-ilmoitukset ja push-token

Wellboyn ilmoitukset tulevat kahdesta eri paikasta, ja ero on olennainen:

• Muistutukset tehdään laitteellasi. Treenimuistutukset, illan yhdistetty check-in- ja krediittimuistutus, aamun kooste ja nesteytysmuistutukset ajastetaan paikallisesti sovelluksessa puhelimellasi jo olevasta datasta. Ne eivät koskaan lähde laitteelta, eikä niiden lähettämiseen osallistu mikään palvelin.
• Palvelimiltamme tulee vain kahdenlaisia viestejä, jotka välitetään Googlen Firebase Cloud Messaging (FCM) -palvelun kautta: valinnaiset hintahälytykset lifetime-ostosta (varoitus, kun nykyinen hintataso on lähes täynnä, ja viimeisen tunnin ilmoitus ennen sen sulkeutumista), jotka näytetään vain jos ilmoitukset on sallittu sovellukselle; sekä näkymätön taustapäivityssignaali, joka kehottaa sovellusta hakemaan tuoreen datan omalta tililtäsi (esimerkiksi heti kun palvelimemme on myöntänyt sinulle kokemuspisteitä). Päivityssignaali ei näytä sinulle mitään eikä kanna sisältöä, vain kehotuksen päivittää.

Hintahälytykset osoitetaan anonyymiin valuuttakohtaiseen aiheeseen (esimerkiksi “price_eur” kaikille, joiden kaupan hinnat ovat euroissa), ei sinulle henkilökohtaisesti: palvelin ei valitse vastaanottajia tilin perusteella.

Viestien reititystä varten laitteellasi on FCM-rekisteröintitoken: Googlen Firebase Cloud Messagingin myöntämä push-reititysosoite. Se yksilöi sovellusasennuksesi viestien toimitusta varten; se ei ole tilitunnisteesi eikä sisällä henkilötietoja. Sovellus tallentaa kunkin laitteen voimassa olevan tokenin oman tilidatasi alle (users/{uid}/pushTokens) yhdessä alustan (“ios” tai “android”) sekä luonti- ja päivitysaikaleimojen kanssa, ja käyttää sitä ainoastaan yllä kuvattujen viestien toimittamiseen: ei koskaan mainontaan, profilointiin tai sovellusten väliseen seurantaan.

Tokenin elinkaari: käyttöjärjestelmä ja Firebase-SDK uusivat tokenin aika ajoin, ja sovellus korvaa silloin tallennetun tokenin uudella. Uloskirjautuminen poistaa laitteen tokenin tililtäsi parhaan kyvyn mukaan; jos Google ilmoittaa, ettei token ole enää voimassa, palvelimemme siivoaa sen automaattisesti; ja token-tietueet poistetaan kaiken muun tilisi alla olevan mukana, kun poistat tilisi (kohta 10.3). Token luodaan taustapäivityssignaalia varten myös silloin, kun et anna ilmoituslupaa (päivityssignaali ei näytä mitään, joten käyttöjärjestelmä ei vaadi sille lupaa); ilmoitusluvan epääminen tarkoittaa, ettei sinulle koskaan näytetä näkyvää ilmoitusta. Itse push-viestit eivät koskaan sisällä sisältöäsi tai terveystietojasi.

4. Missä tietosi säilytetään

4.1 Laitteellasi

Paikallinen tietokanta on kaiken työkopio, joten perusseuranta toimii offline-tilassa; verkkotoiminnot (synkronointi, tekoäly, ostot, jakaminen, verkosta haettavat tuotetiedot) tarvitsevat yhteyden. Kuvatiedostot (avatar, reseptikuvat, ateriaskannauskuvat, edistymiskuvat) tallennetaan sovelluksen yksityiseen tallennustilaan laitteella.

4.2 Pilvessämme (synkronoituvat kokoelmat)

Kun laite on verkossa, sovellus synkronoi seuraavan sisällön Cloud Firestoreen (alue europe-north1, Suomi), jota Google ylläpitää käsittelijänämme. Jokaisen käyttäjän data asuu hänen oman yksityisen tilitunnisteensa alla:

Huomiot kuvista:

• Avatar-, resepti- ja edistymiskuvat synkronoituvat pieninä pakattuina kuvina, jotta ne seuraavat sinua uudelle laitteelle. Kuvan poisto pyyhkii myös kuvatavut palvelimelta.
• Ateriaskannauskuvat eivät synkronoidu: ne säilyvät vain laitteellasi ateriakorttien pikkukuvina. Ateriakirjaus synkronoi kuvan tiedostopolun tekstimuotoisena metatietona, mutta kuvatavut eivät koskaan lähde laitteelta.

Synkronoituvan sisällön lisäksi palvelimemme pitää tilisi alla pieniä operatiivisia tietueita: tekoälypyyntöjen tietueet (kohta 5.5), tukipyynnöt (kohta 8), Pro-jäsenyytesi tilan (kohta 6) ja laitteidesi push-reititystokenit (kohta 3.8).

4.3 Ei koskaan synkronoitavat (vain laitteella)

Valmentajan chat-historia, ostoslistat, päivittäiset askelmäärät ja aktiivienergia, vesihaasteen tila, sovellusasetukset profiilia lukuun ottamatta (mukaan lukien maa-/kaupunkikentät ja profiilikuvan polku), ateriaskannauskuvat ja keskeneräiset aterialuonnokset pysyvät laitteellasi eikä niitä lähetetä minnekään.

4.4 Pääsynhallinta

Tietokantamme pääsyä hallitsevat oletukseltaan kieltävät tietoturvasäännöt: vain omalla tililläsi tunnistautuneet pyynnöt voivat lukea tai kirjoittaa synkronoituvaa sisältöäsi, ja tässä selosteessa kuvatut palvelinpuolen tietueet (esimerkiksi ostotapahtumat ja julkiset jakotilannekuvat) ovat luettavissa vain omien osioidensa kuvaamalla tavalla. Säännöt ovat versionhallinnassa ja muuttuvat vain erillisellä käyttöönotolla.

5. Tekoälytoiminnot (OpenAI)

Kaikki tekoälypyynnöt kulkevat Wellboyn oman palvelimen kautta (Google Cloud Function EU:ssa), joka säilyttää tekoälyn API-avaimen palvelinsalaisuutena, tarkistaa jäsenyytesi käyttörajat ja välittää vain tarvittavan syötteen OpenAI:lle käsittelyyn. Koska pyynnön OpenAI:lle tekee palvelimemme, OpenAI näkee palvelimen verkko-osoitteen sinun IP-osoitteesi sijaan, eikä Wellboy liitä pyyntöön tilitunnistettasi (itse kirjoittamasi teksti lähetetään sellaisenaan, joten vältä kirjoittamasta tunnisteita, joita et halua lähettää). Pyynnöt lähetetään OpenAI:n sovellustilatallennus poissa käytöstä (“store: false”), minkä palvelimemme pakottaa jokaiseen pyyntöön; OpenAI voi säilyttää API-lokeja väärinkäytösvalvontaan omien ehtojensa mukaan (tyypillisesti enintään 30 päivää). Wellboy tai OpenAI eivät käytä syötteitäsi tekoälymallien kouluttamiseen.

5.1 Aterian kuvaskannaus

Kun skannaat aterian, kuva rajataan laitteellasi normaalisti keskitetyksi neliöksi ja pienennetään (noin 768 px); jos käsittely epäonnistuu, alkuperäinen kuva lähetetään sellaisenaan. Kuva lähetetään yhdessä valinnaisen nimen ja muistiinpanojen kanssa ravintoarvion laskemiseksi. Arvio tallennetaan ruokapäiväkirjaasi. Itse kuva säilyy vain laitteellasi ateriakortin pikkukuvana; Wellboy ei lataa sitä Wellboyn hallinnoimaan tallennustilaan.

5.2 Valmentajan chat

Tekoälyvalmentajalle kirjoittamasi viestit lähetetään käsittelyyn yhdessä keskustelun muutaman viimeisen viestin kanssa. Valmentaja voi pyytää sovellusdataa, mutta dataa jaetaan vain, kun hyväksyt nimenomaisen pyyntökortin chatissa. Hyväksynnän jälkeen laitteellasi muodostetaan tiivis tekstiyhteenveto (viimeaikaiset treenit, hyväksyttyjen päivien ravinto, uni, kehonmittaukset tai putki) ja se lähetetään; laitteelta lähtee täsmälleen se yhteenvetoteksti, joka näytetään ja tallennetaan chattiin, ei koskaan raakatietokanta. Chat-historia tallennetaan vain laitteellesi eikä sitä lähetetä keskusteluna palvelimelle; valmentajan vastaus jokaiseen veloitettuun viestiin säilyy kuitenkin kohdassa 5.5 kuvatussa palvelimen tekoälypyyntötietueessa.

5.3 Treenien generointi

Jos käytät tekoälyn treenigenerointia, välinelistasi, kokemustasosi ja valintasi generaattorissa (aika, paikka, fokus, valinnaiset vapaat toiveet) lähetetään treeniehdotuksen laatimiseksi.

5.4 Käyttörajat ja veloitus

Tekoälytoiminnot kuluttavat ilmaisversiossa sovelluksen virtuaalikrediittejä, ja molemmissa jäsenyyksissä niitä rajoittavat päivä- ja kuukausirajat väärinkäytön estämiseksi (Pro-jäsenyyden kohtuukäytön rajat julkaistaan käyttöehdoissa, ja sovellus näyttää jäljellä olevat käyttökerrat). Veloitukset ja palautukset kirjataan tilisi krediittiledgeriin.

5.5 Tekoälypyyntöjen tietueet palvelimellamme

Jotta veloitus osuu oikein, palvelimemme pitää tililläsi jokaisesta veloitetusta tekoälytoiminnosta pienen pyyntötietueen: käytetty tekoälytoiminto, tila, kustannus, aikaleimat ja tekoälyn tulos (esimerkiksi generoitu treeni, skannausarvio tai valmentajan vastaus). Tekoälylle kirjoittamaasi syötetekstiä ja kuviasi ei koskaan tallenneta näihin tietueisiin. Wellboyn tekoälysovelluslokit on suunniteltu välttämään syötteitäsi, kuviasi ja tuloksia; ne sisältävät tunnisteita (tili- ja pyyntötunnukset), tilan, viiveen ja tokenmäärät. Pyyntötietueet poistetaan tilisi mukana.

6. Ostot (Wellboy Pro)

• Wellboy Pron (tilaukset ja lifetime-kertaostot) maksun käsittelee Applen App Store tai Google Play omilla ehdoillaan. Emme koskaan saa kortti- tai pankkitietojasi.

• Käytämme ostojen hallintaan RevenueCat, Inc:iä (USA) käsittelijänä. RevenueCat saa satunnaisen Wellboy-tilitunnisteesi, kaupan ostokuitin/tunnisteen ja tämän sovelluksen ostohistoriasi sekä sen SDK:n keräämät tekniset perustiedot (laitemalli ja -tyyppi, käyttöjärjestelmän versio, sovellusversio ja viimeksi nähty -aikaleimat), ja kertoo meille, mikä jäsenyys on voimassa. Jos käytit creator-koodia, koodi liitetään ostoon. Emme lähetä RevenueCatille nimeäsi, sähköpostiasi emmekä sisältöäsi.

• Palvelimemme vastaanottaa ostotapahtumat (tuote, hinta, valuutta, aika, tilitunniste) RevenueCatin kautta ja tallentaa jäsenyytesi tilan tilillesi sekä tapahtumalokin, jota käytetään kirjanpitoon, väärinkäytösten estoon ja creator-koodien myyntiattribuutioon. Creatoreilla ei ole suoraa pääsyä näihin tietueisiin; creatoreille mahdollisesti annettavat myyntiraportit eivät sisällä tilitunnisteita, vaan ainoastaan koostettuja lukuja.

• Sovelluskaupat säilyttävät ostohistoriasi myös itse omien tietosuojakäytäntöjensä mukaisesti (Apple ja Google ovat maksutapahtuman itsenäisiä rekisterinpitäjiä).

7. Käsittely, joka tapahtuu ensisijaisesti laitteellasi

• Punnerrushaaste: kameran kuvat analysoidaan laitteella ML Kitin asennontunnistuksella. Videota tai kuvia ei lähetetä minnekään; itse ML Kit -kirjasto raportoi Googlelle teknistä telemetriaa (kohta 3.4), mutta ei koskaan kuviasi tai asentotuloksia. Valinnainen ruututallenne tallentuu vain omaan kuvakirjastoosi.
• Viivakoodiskannaus: tunnistus tapahtuu laitteella; ulos lähetetään vain viivakoodin numerot, ensisijaisesti omaan tuotepeiliimme (food.wellboy.net), ja varalta Open Food Factsille (ja US-markkinan käyttäjillä USDA FoodData Centralille), kun peili ei palauta käyttökelpoista tuotetta. Välimuistista löytyvät tulokset palvellaan ilman verkkopyyntöä.
• Ruokien tekstihaku: geneerinen ruokatietokanta (perustuu Finelin ja USDA:n avoimeen dataan) on paketoitu sovelluksen sisään, joten ruokahaku toimii kokonaan laitteella eikä lähetä mitään.
• Päivittäiset askeleet: terveysvarastosta luetut askelmäärät näytetään ja arvioidaan haasteissa laitteella, ja ne jäävät sinne.

8. Jakaminen, kaverikutsut ja tuki

8.1 Jakokoodit

Jakokoodin luonti julkaisee valitusta sisällöstä (resepti, treeni, palautumissessio tai ohjelma, mukaan lukien pakatut kuvat) jäädytetyn tilannekuvan satunnaisella koodilla tietokantamme julkiselle alueelle. Kuka tahansa koodin haltija voi katsoa ja tuoda tilannekuvan. Tilannekuva ei päivity, kun muokkaat alkuperäistä myöhemmin.

Kun joku lunastaa koodisi, kirjaamme lunastavan tilin tunnisteen ja ajan, jotta erilliset lunastukset voidaan laskea. Sinä näet lukumäärät, et henkilöllisyyksiä.

Voit poistaa koodejasi käytöstä (ja palauttaa ne) milloin tahansa kohdassa Asetukset > Omat jakokoodit. Käytöstä poistettuja koodeja ei voi enää katsoa eikä lunastaa.

8.2 Jaot ja tilin poisto

Tilin poistaminen poistaa pysyvästi myös julkaisemasi julkiset jakotilannekuvat (tilannekuvan, sen kuvat ja lunastustietueet) osana kohdassa 10.3 kuvattua poistokaskadia. Sisältö, jonka muut käyttäjät ovat jo tuoneet koodeistasi, säilyy heidän tileillään (siitä tuli tuonnissa heidän kopionsa).

8.3 Kaverikutsut

Jos luot kaverikoodin tai syötät sellaisen, tallennamme koodin, kutsuvan ja kutsutun tilin tunnisteet ja palkkiotilan, jotta kaveripalkinto voidaan myöntää kummallekin osapuolelle kerran. Kaverikoodit ovat itse jaettavia tunnisteita, eivät salaisuuksia. Kutsutietueet poistetaan tilin poistokaskadissa.

8.4 Tukipyynnöt (Ota yhteyttä)

Kun lähetät viestin kohdasta Asetukset > Ota yhteyttä, tallennamme tiketin tilillesi ja luemme sen erikseen. Tiketti sisältää viestisi, valinnaisen yhteyssähköpostin ja liikepyynnöissä valinnaisen antamasi referenssivideolinkin sekä diagnostiikan, jonka laajuus riippuu pyynnön tyypistä: ominaisuus- ja liikepyynnöt sisältävät suppean otoksen (sovellusversio, build-tyyppi, alusta ja käyttöjärjestelmän versio, sovelluksen kieli), kun taas bugi-ilmoitukset ja apupyynnöt sisältävät lisäksi laitemallin, laitteen aikavyöhykkeen, alue- ja kieliasetuksen (locale), yksiköt ja teeman, ilmoitus- ja terveyssynkka-asetukset, tilitunnisteesi, kirjautumistavan tyypin, tilin sähköpostin, Pro-/taso-/krediittitilan, synkronoinnin tilan sekä päätietotyyppiesi lukumäärät (vain lukuja, ei koskaan sisältöä). Bugi-ilmoituksiin liitetään lisäksi enintään 12 lyhennettyä yhden rivin virheilmoitusta meneillään olevasta sovellusistunnosta. Lähettämistä on rajoitettu väärinkäytön estämiseksi. Jos tikettiä ei voida lähettää, sovellus tarjoaa valmiiksi täytetyn sähköpostin osoitteeseen [email protected]; sähköposti kulkee tällöin sovelluksen ulkopuolella.

8.5 Järjestelmän jakovalikko

Sisältö, jonka lähetät käyttöjärjestelmän jakovalikon kautta (esimerkiksi dataviennin tai jakokoodin), menee valitsemaasi sovellukseen ja on meidän hallintamme ulkopuolella.

9. Kolmansien osapuolten palvelut

Kansainväliset siirrot: rekisterinpitäjä on sijoittautunut EU:hun ja synkronoituva sisältösi säilytetään EU:ssa (europe-north1). Osa käsittelijöistämme on yhdysvaltalaisia (OpenAI tekoälytoiminnoissa, RevenueCat ostojen hallinnassa, Cloudflare tuotepeilissä ja media-CDN:ssä), ja Google voi käsitellä rajattua teknistä dataa muissa sijainneissa Google Cloudin tietojenkäsittelyehtojen mukaisesti. Jos otat kaatumisraportoinnin käyttöön (kohta 3.7), Google käsittelee kaatumisdatan Yhdysvalloissa; siirto nojaa Google LLC:n sertifiointiin EU-USA Data Privacy Framework -järjestelyssä, ja EU:n vakiosopimuslausekkeet ovat varasuojatoimi. Push-viestien toimitus (kohta 3.8) kulkee Googlen maailmanlaajuisen Firebase Cloud Messaging -infrastruktuurin kautta, joten push-tokeneita ja viestien reititysdataa voidaan käsitellä EU:n ulkopuolella samojen Google Cloudin tietojenkäsittelyehtojen mukaisesti. Nämä siirrot nojaavat palveluntarjoajien tietojenkäsittelyehtoihin, EU:n vakiosopimuslausekkeisiin ja soveltuvin osin EU-USA Data Privacy Framework -järjestelyyn. Voit pyytää jäljennöksen näissä siirroissa käytetyistä suojatoimista (esimerkiksi sovellettavista vakiosopimuslausekkeista) osoitteesta [email protected].

10. Säilytys, poisto, vienti

10.1 Sisällön poisto

Sisältösi säilytetään, kunnes poistat sen tai poistat tilisi. Kun poistat yksittäisen kohteen, siitä säilytetään minimaalinen poistomerkintä (ilman sisältöä), jotta laitteesi päätyvät samaan lopputulokseen; merkinnät poistetaan tilisi mukana. Poistetuista kuvista pyyhitään myös kuvatavut palvelimelta.

10.2 Uloskirjautuminen

Uloskirjautuminen palauttaa sovelluksen sillä laitteella tehdasasetuksiin. Synkronoitu data säilyy pilvitililläsi ja palaa, kun kirjaudut takaisin. Anonyymille tilille ei voi kirjautua takaisin: jos käytät Wellboyta rekisteröitymättä ja kirjaudut ulos tai menetät laitteen, pääsy siihen dataan menetetään pysyvästi.

10.3 Tilin poisto

Asetukset > Tili > Poista tili poistaa pysyvästi julkaisemasi jakotilannekuvat, kaverikutsutietueesi ja kaiken tilisi alle tallennetun (kaikki kohdan 4.2 synkronoituvat kokoelmat, tekoälypyyntöjen tietueet, tukipyynnöt, jäsenyystilan, push-tokenit), poistaa kirjautumistietueesi ja pyyhkii paikallisen kopion laitteelta. Tätä ei voi perua. Tekninen poistotyötietue (tilitunnisteesi ja etenemisen aikaleimat, ei sisältöä) säilytetään 7 päivää valmistumisen jälkeen poiston loppuunviennin varmistamiseksi, minkä jälkeen se poistuu automaattisesti. Applen, Googlen ja RevenueCatin hallussa olevat ostotiedot sekä omat ostotapahtuma- ja creator-myyntitietueemme (kohta 6) säilyvät tilin poiston jälkeen niiden omien käytäntöjen ja lakisääteisten säilytysvelvoitteiden mukaisesti (kirjanpito ja väärinkäytösten esto). Crashlyticsiin jo lähetettyjä kaatumis- ja virheraportteja (kohta 3.7) ei voi poistaa valikoiden eivätkä ne ole yhdistettävissä tiliisi; ne poistuvat automaattisesti 90 päivän säilytysjaksonsa päättyessä.

10.4 Vienti

Tilisivulla on Vie tiedot -toiminto, joka tuottaa ZIP-tiedoston: datasi JSON-muodossa (kaikki synkronoituva sisältö sekä sovellusasetuksesi) ja saatavilla olevat sovelluksen omistamat kuvatiedostosi (avatar, reseptikuvat, edistymiskuvat ja ateriakuvat sovelluksen omasta tallennustilasta), ja avaa järjestelmän jakovalikon, jotta voit tallentaa sen minne haluat.

Vienti ei sisällä dataa, joka elää vain laitteella eikä koskaan synkronoidu: valmentajan chat-historiaa, ostoslistoja, päivittäisiä askelmääriä ja aktiivienergiaa, vesihaasteen tilaa eikä keskeneräisiä luonnoksia. Se ei sisällä myöskään tässä selosteessa kuvattuja palvelinpuolen operatiivisia tietueita (tekoälypyyntöjen tietueet, tukipyynnöt, ostotapahtumat, push-tokenit); lähettämäsi tukipyynnöt ovat pilvitietueita, jotka poistetaan tilisi mukana.

11. Oikeutesi

Koska rekisterinpitäjä on sijoittautunut Suomeen, GDPR soveltuu käsittelyymme riippumatta siitä, missä asut, ja sinulla voi lisäksi olla oman maasi lainsäädännön mukaisia oikeuksia. Sinulla on oikeus:

• saada pääsy tietoihisi (sovelluksen vienti kattaa synkronoituvan sisällön),
• oikaista niitä (suurin osa itse syöttämästäsi sisällöstä on muokattavissa sovelluksessa; tietueista, joita et voi itse muokata, kuten ledgeririveistä, ota yhteyttä osoitteeseen [email protected]),
• poistaa ne (poista kohteita tai koko tili sovelluksessa),
• siirtää tiedot (ZIP/JSON-vienti),
• vastustaa omaan erityiseen tilanteeseesi liittyvin perustein käsittelyä, joka perustuu oikeutettuun etuumme (kohta 12), ja rajoittaa käsittelyä GDPR:n mukaisissa tilanteissa,
• peruuttaa suostumus, kun käsittely perustuu suostumukseen (esimerkiksi valmentajan datanjako hyväksytään pyyntö kerrallaan; kaatumisraportointi kytketään pois asetuksista, kohta 3.7; terveyssovelluksen luvat, kamera, kuvat, ilmoitukset ja sijainti muutetaan käyttöjärjestelmän asetuksista). Suostumuksen peruuttaminen ei vaikuta ennen peruutusta tapahtuneen käsittelyn lainmukaisuuteen. Terveyssovelluksen yhteyden katkaiseminen lopettaa uudet tuonnit; jo tuotu data säilyy tililläsi, kunnes poistat sen,
• valittaa valvontaviranomaiselle. Johtava valvontaviranomaisemme on Suomen tietosuojavaltuutetun toimisto (tietosuoja.fi), koska rekisterinpitäjä on sijoittautunut Suomeen; voit valittaa myös oman asuinmaasi viranomaiselle.

Jos haluat käyttää oikeutta, jota sovelluksen omat työkalut eivät kata, ota yhteyttä osoitteeseen [email protected].

12. Oikeusperusteet (GDPR)

Syntymäaikasi tarvitaan vähimmäisiän tarkistukseen sovelluksen käyttöönotossa, ja osto edellyttää kaupan kassan keräämiä tietoja; ilman näitä käyttöönottoa tai ostoa ei voi viedä loppuun. Kaikki muu lisäämäsi on vapaaehtoista: ominaisuudet yksinkertaisesti toimivat ilman dataa, jonka jätät antamatta.

13. Tietoturva

Tiedot salataan siirrossa (TLS) ja levossa (Googlen hallinnoima salaus). Pääsyä rajoittavat käyttäjäkohtaiset, oletukseltaan kieltävät tietoturvasäännöt. Suurin osa sovelluksen käyttöliittymästä lukee datasi paikallista kopiota (maksumuurin hinnat ja jäsenyystila luetaan palvelimelta); muuten pilvi on synkronointikohde, mikä minimoi altistumispinnat. Virtuaalikrediitti- ja XP-saldot päätetään palvelimella. Tekoälysovelluslokimme on suunniteltu välttämään syötteitäsi, kuviasi ja tuloksia (kohta 5.5); muut palvelinlokit voivat sisältää tunnisteita ja pyyntöjen teknisiä yksityiskohtia, ja niitä käytetään ylläpitoon ja väärinkäytösten estoon. Mukana ei ole kolmannen osapuolen mainoskoodia eikä kolmannen osapuolen tuoteanalytiikkaa (Googlen SDK-komponentit raportoivat rajattua teknistä telemetriaa, kohta 3.4). Kaatumis- ja virheraportointi on valinnainen ja oletuksena pois (kohta 3.7).

14. Lapset

Wellboy on tarkoitettu vähintään 13-vuotiaille, ja sitä vanhemmille niissä maissa joissa kansallinen suostumusikä on korkeampi (EU/ETA-alueella 13-16 vuotta; esimerkiksi Suomessa 13 sekä Saksassa, Irlannissa ja Alankomaissa 16 vuotta). Sovellus kysyy syntymäaikasi eikä hyväksy päivää, joka jättäisi sinut asuinmaasi alarajan alle: sääntö on sama käyttöönotossa, Asetuksissa ja kertakyselyssä niille tileille, jotka on luotu ennen ikäporttia. Huoltajan suostumukselle ei ole erillistä reittiä: paikallisen ikärajan alle jäävä ei pääse sovellukseen, joten emme tietoisesti kerää tietoja häntä nuoremmilta.

Edistymiskuvat ovat vähintään 18-vuotiaille. Jos olet alle 18-vuotias, edistymiskuvatoimintoa ei tarjota sinulle eikä yhtään edistymiskuvaa tallenneta laitteellesi, synkronoida tilillesi tai ladata mihinkään. Kaikki muut toiminnot toimivat normaalisti.

15. Muutokset tähän selosteeseen

Julkaisemme päivitykset osoitteessa https://wellboy.app/fi/privacy ja kerromme olennaisista muutoksista sovelluksessa ennen niiden voimaantuloa.

16. Kieli

Tämä seloste laaditaan ja sitä ylläpidetään englanniksi; käännökset tuotetaan englanninkielisestä tekstistä mukavuussyistä. Jos käännös ja englanninkielinen teksti eroavat, englanninkielinen teksti on versio, jota ylläpidämme ja jota vasten käännökset korjataan, ja pyrimme pitämään jokaisen julkaistun kieliversion asiallisesti oikeana.

17. Yhteystiedot

Pankka Group Oy Sukkulatie 10, 87700 Kajaani, Suomi Y-tunnus 3397011-8 [email protected]