Polityka prywatności Wellboy

Data wejścia w życie: jeszcze nie obowiązuje (wersja robocza).

1. Kim jesteśmy

Wellboy jest prowadzony przez Pankka Group Oy, spółkę z ograniczoną odpowiedzialnością zarejestrowaną w Finlandii (identyfikator firmy 3397011-8), Sukkulatie 10, 87700 Kajaani, Finland. Pankka Group Oy jest administratorem danych osobowych opisanych w tej polityce.

Kontakt w sprawach prywatności: [email protected]

W niniejszej polityce „Wellboy”, „my” i „nas” oznaczają Pankka Group Oy, a „aplikacja” oznacza aplikację Wellboy (wersje na iOS, Androida i komputery).

2. Podsumowanie prostym językiem

• Aplikacja działa offline-first: Twoje dane znajdują się w lokalnej bazie danych na Twoim urządzeniu, a podstawowe śledzenie działa bez połączenia. Synchronizacja, funkcje AI, zakupy, udostępnianie i wyszukiwanie produktów online wymagają połączenia.
• Gdy jesteś online, Twoje treści synchronizują się z naszą chmurową bazą danych (Google Cloud Firestore) w regionie UE europe-north1 (Finlandia), gdzie są przechowywane pod prywatnym identyfikatorem konta, który może odczytywać lub zapisywać tylko Twoje zalogowane konto.
• Rozpoczynasz automatycznie jako konto anonimowe i pod koniec konfiguracji początkowej rejestrujesz metodę logowania (Apple, Google lub e-mail), aby zachować dane na różnych urządzeniach.
• Funkcje AI (skanowanie zdjęć posiłków, czat z trenerem, generowanie treningów) przesyłają potrzebne dane przez własne serwery Wellboy do OpenAI w celu przetwarzania. Aplikacja łączy się z naszym serwerem, a klucz API AI jest przechowywany jako sekret serwera. Żądania są wysyłane z wyłączonym przechowywaniem stanu aplikacji przez OpenAI; OpenAI może przechowywać dzienniki API do monitorowania nadużyć zgodnie z własnymi warunkami (zwykle do 30 dni), a ani Wellboy, ani OpenAI nie używają Twoich danych wejściowych do trenowania modeli AI.
• Możesz opcjonalnie połączyć Apple Health (HealthKit) lub Health Connect (Android). Import do aplikacji Wellboy jest tylko do odczytu. Jeśli używasz opcjonalnej aplikacji towarzyszącej na Apple Watch do rejestrowania treningu, zegarek zapisuje ten trening (z tętnem i energią aktywną) w Apple Health na Twoich własnych urządzeniach; nie wysyła tych danych na serwery Wellboy (sekcja 3.5).
• Zakupy Wellboy Pro są przetwarzane przez Apple lub Google; nigdy nie widzimy danych Twojej karty. RevenueCat przetwarza dla nas potwierdzenia zakupów.
• Nie wyświetlamy żadnych reklam i w tej wersji nie używamy żadnych zewnętrznych narzędzi analityki produktu. Komponenty Google SDK używane przez aplikację (ML Kit, Firebase) przekazują Google ograniczoną telemetrię techniczną (sekcje 3.4 i 9).
• Raportowanie awarii jest opcjonalne i domyślnie wyłączone. Jeśli je włączysz, raporty awarii i błędów (wyłącznie dane techniczne, nigdy Twoje treści) trafiają do Google Firebase Crashlytics i są przetwarzane w Stanach Zjednoczonych. Możesz je wyłączyć w dowolnym momencie w Ustawieniach (sekcja 3.7).
• Przypomnienia są planowane na Twoim urządzeniu i nigdy go nie opuszczają. Jedyne wiadomości wysyłane przez nasze serwery to opcjonalne alerty cenowe dotyczące zakupu dożywotniego oraz niewidoczny sygnał informujący aplikację o konieczności odświeżenia jej własnych danych (sekcja 3.8).
• Historia czatu z trenerem, listy zakupów, dzienne liczby kroków i większość ustawień aplikacji nigdy nie są przesyłane na Twoje konto w chmurze. Zdjęcia ze skanowania posiłków również pozostają na Twoim urządzeniu. Odpowiedź trenera na każdą płatną wiadomość jest przechowywana w serwerowym rejestrze żądania AI (sekcja 5.5).
• Kody udostępniania publikują zamrożony, publiczny zrzut udostępnianych treści, który może wyświetlić każda osoba mająca kod.
• Możesz wyeksportować swoje dane jako plik ZIP (JSON + pliki obrazów) i usunąć swoje konto (wraz ze wszystkimi zsynchronizowanymi danymi) bezpośrednio w aplikacji.

3. Jakie dane zbieramy

3.1 Dane konta

• Anonimowe konto (z losowym identyfikatorem konta) jest tworzone automatycznie przy pierwszym połączeniu aplikacji, a podczas konfiguracji początkowej prosimy Cię o zarejestrowanie metody logowania.
• Gdy rejestrujesz lub łączysz metodę logowania, przechowujemy identyfikatory przekazane nam przez tego dostawcę: Twój adres e-mail i identyfikatory konta u dostawcy (Sign in with Apple, Google Sign-In lub e-mail + hasło), a także status weryfikacji adresu e-mail. Jeśli dostawca je udostępni, możemy również otrzymać nazwę przypisaną do tego konta dostawcy (na przykład z Sign in with Apple).
• Nie oferujemy uwierzytelniania telefonem/SMS.

3.2 Dodawane przez Ciebie treści (dane dotyczące zdrowia i sprawności fizycznej)

W zależności od używanych funkcji mogą to być:

• wpisy dotyczące posiłków i odżywiania (produkty spożywcze, porcje, energia, makroskładniki), nawodnienie, podsumowania codziennych zamknięć dnia i cele żywieniowe,
• Twoje cele (główne cele treningowe, masa docelowa, tygodniowy cel treningowy, codzienny poziom aktywności),
• wpisy dotyczące jakości snu,
• treningi: własne szablony treningów, ukończone sesje (serie, ciężary, powtórzenia, czasy, dystanse), zaplanowane treningi i programy treningowe,
• przepisy i zawartość książki kucharskiej, w tym zdjęcia przepisów,
• listy zakupów (tylko na urządzeniu),
• pomiary ciała i zdjęcia postępów (zdjęcia postępów są dostępne wyłącznie dla użytkowników w wieku 18 lat i starszych, zob. sekcja 14),
• dane importowane z Apple Health lub Health Connect (sekcja 3.5),
• wyniki wyzwań (na przykład wyniki wyzwania pompek),
• passy, punkty doświadczenia (XP), historia wirtualnych kredytów i potwierdzenia realizacji nagród za pomocą wirtualnych kredytów,
• rejestry udostępniania (metadane dotyczące utworzonych przez Ciebie kodów udostępniania) i rejestry poleceń znajomych (sekcja 8.3),
• opcjonalne zdjęcie awatara,
• wiadomości z czatu z trenerem (przechowywane wyłącznie na Twoim urządzeniu),
• Twój profil: nazwa, płeć oraz data urodzenia (wykorzystywane do szacowania kalorii, personalizacji trenera i kontroli minimalnego wieku; Twój wiek jest obliczany na bieżąco i nigdy nie jest przechowywany).

Znaczna część tych danych dotyczy zdrowia. Domyślnie traktujemy je wszystkie jako prywatne i przechowujemy wyłącznie w celu świadczenia Ci usługi.

3.3 Ustawienia

Jednostki, język, motyw, preferencje powiadomień, domyślne ustawienia treningu, opcjonalna przybliżona lokalizacja na poziomie kraju/miasta oraz opcjonalna ścieżka zdjęcia profilowego są przechowywane wyłącznie na Twoim urządzeniu (zob. 4.3). Wyjątkiem są Twoja nazwa, płeć i data urodzenia, które synchronizują się z Twoim kontem w chmurze jako Twój profil (wraz z flagą wskazującą ukończenie konfiguracji początkowej oraz, jeśli na nie odpowiesz, opcjonalną odpowiedzią na pytanie „skąd o nas wiesz”, sekcja 3.6), dzięki czemu są dostępne na nowym urządzeniu.

Szczegóły dotyczące lokalizacji: możesz samodzielnie wpisać kraj i miasto albo przyznać systemowi operacyjnemu uprawnienie do przybliżonej lokalizacji. Aplikacja nigdy nie żąda dokładnej lokalizacji GPS. Lokalizacja służy wyłącznie treściom regionalnym.

3.4 Dane zbierane automatycznie

• Nie zawieramy żadnych SDK reklamowych ani SDK zewnętrznej analityki produktu. Komponenty Google SDK używane przez aplikację (wykrywanie pozycji ciała ML Kit, Firebase) przekazują Google ograniczoną telemetrię techniczną (dane o urządzeniu, aplikacji, konfiguracji, wydajności i błędach; zob. sekcja 9).
• Korzystanie z usług Google siłą rzeczy ujawnia Google, jako naszemu dostawcy usług, standardowe dane techniczne (adres IP, informacje o urządzeniu, znaczniki czasu), gdy aplikacja komunikuje się z punktami końcowymi uwierzytelniania, bazy danych lub serwera.
• Aplikacja używa Firebase App Check do atestacji urządzenia/aplikacji, aby pomóc zweryfikować, że żądania pochodzą z prawdziwej, niezmodyfikowanej aplikacji Wellboy. Wymiana atestacji obejmuje token integralności wydany przez Apple lub Google; nie identyfikuje on Ciebie osobiście.
• Aby sprawiedliwie egzekwować dzienne limity w różnych strefach czasowych, nasz serwer przechowuje na Twoim koncie ostatnio używaną przez urządzenie nazwę strefy czasowej IANA (na przykład “Europe/Helsinki”) i używa jej (lub Europe/Helsinki, jeśli żadna strefa nie jest zapisana) do wyznaczania granic dnia. Strefa czasowa jest przybliżonym sygnałem regionalnym, a nie śladem lokalizacji.
• Skanowanie kodu kreskowego wysyła wyłącznie cyfry kodu kreskowego do naszej własnej usługi lustrzanej produktów (food.wellboy.net, hostowanej w Cloudflare). Jeśli usługa lustrzana nie zwróci użytecznego produktu (nieznany kod kreskowy, brak wartości odżywczych lub błąd usługi lustrzanej), cyfry są następnie wysyłane do Open Food Facts, a w przypadku użytkowników na rynku amerykańskim do USDA FoodData Central jako zapasowych wyszukiwań. Każda usługa z konieczności widzi Twój adres IP jako część żądania; nie jest wysyłany żaden identyfikator konta. Wyniki z wartościami odżywczymi są buforowane na urządzeniu przez 30 dni, więc ponowne skanowanie tego samego produktu nie powoduje żądania sieciowego.
• Filmy demonstracyjne ćwiczeń są przesyłane strumieniowo z naszej sieci CDN (cdn.wellboy.net), która widzi standardowe dzienniki żądań internetowych.
• Opcjonalne raportowanie awarii i błędów jest domyślnie wyłączone i opisane w sekcji 3.7; gdy jest wyłączone, nie są zbierane żadne dane na ten cel.
• Na iOS i Androidzie aplikacja rejestruje token routingu push w Google Firebase Cloud Messaging, aby nasz serwer mógł dostarczać wiadomości opisane w sekcji 3.8. Token jest przechowywany na Twoim koncie i tworzony nawet wtedy, gdy odrzucisz widoczne powiadomienia (zawiera również niewidoczny sygnał odświeżania).

3.5 Import danych z aplikacji zdrowotnych (Apple Health / Health Connect)

Jeśli połączysz Wellboy z Apple Health (iOS) lub Health Connect (Android), aplikacja odczytuje za Twoją zgodą tylko następujące typy:

• masę ciała, procent tkanki tłuszczowej, beztłuszczową masę ciała, spoczynkowe tętno oraz (na iOS) obwód talii: zaimportowane wpisy są przechowywane jak ręcznie wpisane pomiary ciała, oznaczone źródłem i synchronizowane z Twoim kontem w chmurze jak inne pomiary ciała,
• dzienne liczby kroków oraz, jeśli w ustawieniach Wellboy włączono kalorie z treningu, dzienną energię aktywną: odzwierciedlane w widoku aktywności aplikacji i wyzwaniach, przechowywane wyłącznie na Twoim urządzeniu, nigdy nie synchronizowane,
• próbki tętna podczas treningu (tylko jeśli włączysz tętno treningowe): odczytywane na żywo, aby pokazywać tętno i szacowane kalorie podczas sesji i po niej; same próbki nigdy nie są przechowywane; zachowywane jest tylko zapisane przez Ciebie podsumowanie treningu.

Import z magazynu zdrowia telefonu jest tylko do odczytu: aplikacja Wellboy na telefonie odczytuje wyłącznie wymienione powyżej typy i nie zapisuje niczego w Twoim magazynie zdrowia.

Aplikacja towarzysząca Apple Watch: jeśli zainstalujesz opcjonalną aplikację Wellboy na zegarku i zarejestrujesz za jej pomocą trening, zegarek mierzy sesję przez HealthKit i, za zgodą na uprawnienia HealthKit udzieloną na zegarku, zapisuje trening wraz z tętnem i energią aktywną w Apple Health, dzięki czemu trening jest uwzględniany w pierścieniach aktywności. Zapis ten odbywa się w Twoim własnym magazynie zdrowia na Twoich własnych urządzeniach; zegarek nie przesyła treningu, danych tętna ani energii na serwery Wellboy.

Możesz odłączyć połączenie w dowolnym momencie w ustawieniach systemu (iOS: Ustawienia > Zdrowie > Dostęp do danych; Android: aplikacja Health Connect), a opcjonalną automatyczną synchronizację uzupełniającą można wyłączyć w ustawieniach Wellboy. Dane dotyczące zdrowia nigdy nie są wykorzystywane do reklam ani marketingu i nigdy nie są udostępniane osobom trzecim do ich własnych celów.

3.6 Skąd o nas wiesz (opcjonalne pytanie marketingowe)

Pod koniec konfiguracji początkowej pytamy, skąd wiesz o Wellboy. Odpowiedź jest opcjonalna i możesz kontynuować bez wybierania czegokolwiek. Jeśli odpowiesz, wybrana przez Ciebie jedna opcja (znajomy, Instagram, TikTok, YouTube, Facebook, sklep z aplikacjami, podcast lub „inne”) jest przechowywana w Twoim profilu (sekcja 4.2) i służy do zrozumienia, które kanały przyciągają użytkowników do Wellboy. Są to dane marketingowe, a nie dane diagnostyczne: nie stanowią części raportów awarii opisanych w sekcji 3.7, nie są przekazywane wybranej platformie, nie są wykorzystywane do reklam ani śledzenia i są usuwane wraz z Twoim kontem.

3.7 Raportowanie awarii i błędów (opcjonalne, domyślnie wyłączone)

Aby znajdować i naprawiać awarie oraz ukryte błędy, aplikacja zawiera Firebase Crashlytics (Google). Raportowanie awarii jest domyślnie wyłączone i włącza się tylko wtedy, gdy je aktywujesz, na stronie konfiguracji początkowej, na której o to pytamy, albo później w Ustawieniach. Nigdy nie jest wstępnie zaznaczone ani włączane jako skutek uboczny czegokolwiek innego. Gdy jest wyłączone, w tym celu nic nie jest zbierane ani wysyłane.

Jeśli je włączysz, Wellboy wysyła do Google Crashlytics:

• raporty awarii i raporty błędów niekrytycznych (błędy przechwycone przez aplikację, po których aplikacja działa dalej, na przykład nieudana próba synchronizacji lub nieudane wywołanie serwera), wraz z technicznym śladem błędu,
• model urządzenia, wersja systemu operacyjnego, wersja aplikacji i techniczny stan urządzenia w chwili raportu (na przykład dostępna pamięć),
• identyfikator instalacji Crashlytics: losowy identyfikator instalacji aplikacji, używany do liczenia, jak wiele urządzeń dotyczy dany problem. Nie ustawiamy żadnego identyfikatora, który łączyłby raport z Twoim kontem Wellboy,
• znaczniki czasu,
• w przypadku błędów niekrytycznych mały zestaw wartości kontekstu technicznego: podsystem aplikacji, który zgłosił błąd, techniczne kody przyczyn, kody błędów i statusu HTTP oraz niewielkie liczniki. Dozwolone klucze kontekstu należą do stałej technicznej listy dozwolonych kluczy wymuszanej w kodzie aplikacji.

Raporty awarii i błędów nigdy nie zawierają Twoich treści ani danych dotyczących zdrowia: żadnych treningów, posiłków, masy ciała ani pomiarów, zdjęć, nazw, adresów e-mail ani wiadomości z czatu z trenerem.

Dane o awariach są przetwarzane przez Google w Stanach Zjednoczonych (Crashlytics nie oferuje wyboru lokalizacji danych). Jest to celowy, udokumentowany wyjątek od przechowywania w UE opisanego w sekcji 4.2 i jeden z powodów, dla których funkcja wymaga aktywnego włączenia. Transfer opiera się na certyfikacji Google LLC w ramach EU-US Data Privacy Framework, a jako zabezpieczenie awaryjne stosuje się EU Standard Contractual Clauses (sekcja 9).

Raporty awarii i ich identyfikatory są przechowywane przez 90 dni, a następnie automatycznie usuwane. Crashlytics nie oferuje usuwania danych dla pojedynczego użytkownika: raportów już wysłanych nie można później usunąć wybiórczo, więc wyłączenie raportowania ani usunięcie konta Wellboy nie usuwa wstecznie raportów, które już wysłano; tracą ważność w ciągu 90 dni. Ponieważ nie jest ustawiany identyfikator powiązany z kontem, raportów nie można także wyszukać według użytkownika.

Podstawą prawną tego przetwarzania jest Twoja zgoda (sekcja 12). Możesz ją wycofać w dowolnym momencie, wyłączając raportowanie awarii w Ustawieniach; zmiana zacznie w pełni obowiązywać przy następnym uruchomieniu aplikacji.

3.8 Powiadomienia push i token push

Powiadomienia w Wellboy pochodzą z dwóch różnych miejsc, a ta różnica ma znaczenie:

• Przypomnienia są tworzone na Twoim urządzeniu. Przypomnienia o treningu, połączone przypomnienie o wieczornym zamknięciu dnia i kredytach, poranny skrót oraz przypomnienia o nawodnieniu są planowane lokalnie przez aplikację na podstawie danych już znajdujących się w Twoim telefonie. Nigdy nie opuszczają urządzenia i żaden serwer nie bierze udziału w ich wysyłaniu.
• Tylko dwa rodzaje wiadomości pochodzą z serwerów Wellboy, dostarczane za pośrednictwem Google Firebase Cloud Messaging (FCM): opcjonalne alerty cenowe dotyczące zakupu dożywotniego (ostrzeżenie, gdy bieżący poziom cenowy jest prawie pełny, oraz powiadomienie w ostatniej godzinie przed jego zamknięciem), wyświetlane tylko wtedy, gdy powiadomienia są dozwolone dla aplikacji; oraz niewidoczny sygnał odświeżania w tle, który każe aplikacji pobrać świeże dane z Twojego konta (na przykład zaraz po przyznaniu Ci przez nasz serwer punktów doświadczenia). Sygnał odświeżania niczego Ci nie wyświetla i nie zawiera treści, tylko instrukcję odświeżenia.

Alerty cenowe są kierowane do anonimowego tematu zależnego od waluty (na przykład “price_eur” dla wszystkich, których ceny w sklepie są w euro), a nie do Ciebie osobiście: serwer nie wybiera odbiorców na podstawie konta.

Aby kierować te wiadomości, urządzenie przechowuje token rejestracji FCM: adres routingu push wydany przez Google Firebase Cloud Messaging. Identyfikuje on instalację Twojej aplikacji na potrzeby dostarczania wiadomości; nie jest identyfikatorem Twojego konta i nie zawiera danych osobowych. Aplikacja przechowuje bieżący token każdego urządzenia w ramach danych Twojego konta (users/{uid}/pushTokens), wraz z platformą (“ios” lub “android”) oraz znacznikami czasu utworzenia/aktualizacji, i używa go wyłącznie do dostarczania opisanych powyżej wiadomości: nigdy do reklam, profilowania ani śledzenia między aplikacjami.

Cykl życia tokenu: system operacyjny i pakiet SDK Firebase od czasu do czasu odświeżają token, a aplikacja zastępuje wtedy zapisany token. Wylogowanie usuwa token urządzenia z Twojego konta na zasadzie dołożenia starań; jeśli Google zgłosi, że token nie jest już ważny, nasz serwer automatycznie go usuwa; rekordy tokenu są usuwane wraz z całą resztą danych na Twoim koncie po jego usunięciu (sekcja 10.3). Token jest tworzony na potrzeby sygnału odświeżania w tle nawet wtedy, gdy odrzucisz uprawnienie do powiadomień (sygnał odświeżania niczego nie wyświetla, więc system operacyjny nie wymaga do niego uprawnienia); odrzucenie uprawnienia oznacza, że nigdy nie zostanie Ci pokazane widoczne powiadomienie. Wiadomości push same w sobie nigdy nie zawierają Twoich treści ani danych dotyczących zdrowia.

4. Gdzie przechowywane są Twoje dane

4.1 Na Twoim urządzeniu

Lokalna baza danych jest roboczą kopią wszystkich danych, dlatego podstawowe śledzenie działa offline; funkcje online (synchronizacja, AI, zakupy, udostępnianie, wyszukiwanie produktów online) wymagają połączenia. Pliki obrazów (awatar, zdjęcia przepisów, zdjęcia skanów posiłków, zdjęcia postępów) są przechowywane w prywatnej pamięci aplikacji na urządzeniu.

4.2 W naszej chmurze (synchronizowane kolekcje)

Gdy urządzenie jest online, aplikacja synchronizuje poniższe treści z usługą Cloud Firestore (region europe-north1, Finlandia), którą Google obsługuje jako nasz podmiot przetwarzający. Dane każdego użytkownika znajdują się w ramach jego własnego prywatnego identyfikatora konta:

Uwagi dotyczące obrazów:

• Awatar, zdjęcia przepisów i zdjęcia postępów synchronizują się jako małe skompresowane dane obrazów, aby były dostępne na nowym urządzeniu. Usunięcie dowolnego z nich usuwa również bajty obrazu z serwera.
• Zdjęcia skanów posiłków nie są synchronizowane: są przechowywane wyłącznie na Twoim urządzeniu jako miniatury posiłków. Wpis posiłku synchronizuje ścieżkę pliku zdjęcia jako fragment tekstowych metadanych, ale bajty obrazu nigdy nie są przesyłane.

Oprócz synchronizowanych treści nasz serwer przechowuje na Twoim koncie niewielkie rejestry operacyjne: rejestry żądań AI (sekcja 5.5), zgłoszenia do pomocy technicznej (sekcja 8), stan członkostwa Pro (sekcja 6) oraz tokeny routingu powiadomień push Twoich urządzeń (sekcja 3.8).

4.3 Nigdy nie są synchronizowane (tylko na urządzeniu)

Historia czatu z Trenerem, listy zakupów, dzienne liczby kroków i aktywna energia, stan wyzwania wodnego, ustawienia aplikacji z wyjątkiem profilu (w tym pola kraju/miasta i ścieżka do zdjęcia profilowego), zdjęcia skanów posiłków oraz wersje robocze posiłków w toku pozostają na urządzeniu i nie są przesyłane.

4.4 Kontrola dostępu

Dostęp do naszej bazy danych jest kontrolowany przez reguły bezpieczeństwa z domyślną odmową dostępu: tylko żądania uwierzytelnione jako Twoje konto mogą odczytywać lub zapisywać synchronizowane treści, a rejestry po stronie serwera opisane w niniejszej polityce (na przykład zdarzenia zakupu i publiczne migawki udostępniania) są odczytywalne wyłącznie w zakresie opisanym w odpowiednich sekcjach. Reguły są objęte kontrolą wersji i zmienia się je wyłącznie w ramach jawnego wdrożenia.

5. Funkcje AI (OpenAI)

Wszystkie żądania AI przechodzą przez własny serwer Wellboy (funkcję Google Cloud Function w UE), który przechowuje klucz API AI jako sekret serwera, sprawdza limity użycia Twojego planu i przekazuje do przetwarzania przez OpenAI tylko niezbędne dane wejściowe. Ponieważ żądanie do OpenAI wysyła nasz serwer, OpenAI otrzymuje adres sieciowy serwera zamiast Twojego adresu IP, a Wellboy nie dodaje identyfikatora Twojego konta do żądania (wpisywany przez Ciebie tekst jest wysyłany w niezmienionej postaci, więc unikaj wpisywania identyfikatorów, których nie chcesz wysyłać). Żądania są wysyłane z wyłączonym przechowywaniem stanu aplikacji OpenAI („store: false”), co nasz serwer wymusza przy każdym żądaniu; OpenAI może przechowywać dzienniki API do monitorowania nadużyć na własnych zasadach (zwykle przez maksymalnie 30 dni). Ani Wellboy, ani OpenAI nie wykorzystują Twoich danych wejściowych do trenowania modeli AI.

5.1 Skanowanie zdjęcia posiłku

Kiedy skanujesz posiłek, zdjęcie jest zwykle przycinane na urządzeniu do wyśrodkowanego kwadratu i pomniejszane (około 768 px); jeśli przetwarzanie się nie powiedzie, wysyłane jest zamiast niego oryginalne zdjęcie. Obraz jest wysyłany wraz z opcjonalną nazwą lub notatkami wpisanymi przez Ciebie w celu oszacowania wartości odżywczych. Oszacowanie jest zapisywane w dzienniku posiłków. Samo zdjęcie jest przechowywane wyłącznie na Twoim urządzeniu jako miniatura karty posiłku; Wellboy nie przesyła go do pamięci masowej kontrolowanej przez Wellboy.

5.2 Czat z Trenerem

Wiadomości wpisywane przez Ciebie do Trenera AI są wysyłane do przetwarzania wraz z kilkoma ostatnimi wiadomościami rozmowy. Trener może poprosić o dane z aplikacji, ale dane są udostępniane wyłącznie po wyraźnym zatwierdzeniu konkretnej karty żądania przez Ciebie na czacie. Po zatwierdzeniu na Twoim urządzeniu tworzony jest zwięzły tekst podsumowania (ostatnie treningi, wartości odżywcze z zatwierdzonych dni, sen, pomiary ciała lub passa), który jest wysyłany; z urządzenia wysyłany jest dokładnie ten tekst podsumowania, który jest wyświetlany i przechowywany na czacie, nigdy surowa baza danych. Historia czatu jest przechowywana wyłącznie na Twoim urządzeniu i nie jest przesyłana jako rozmowa; odpowiedź Trenera na każdą wiadomość, za którą pobrano kredyty, jest jednak przechowywana w rejestrze żądań AI po stronie serwera opisanym w sekcji 5.5.

5.3 Generowanie treningu

Jeśli używasz generowania treningu przez AI, Twoja lista sprzętu, poziom doświadczenia i wybrane przez Ciebie opcje generatora (czas, miejsce, obszar, opcjonalne życzenia wpisane w polu wolnego tekstu) są wysyłane w celu utworzenia propozycji treningu.

5.4 Limity użycia i naliczanie

Działania AI zużywają wirtualne kredyty w aplikacji na darmowym planie i na obu planach podlegają dziennym oraz miesięcznym limitom jako środek przeciwdziałania nadużyciom (limity uczciwego korzystania w planie Pro są opublikowane w Warunkach korzystania z usługi, a aplikacja pokazuje liczbę pozostałych użyć). Obciążenia i zwroty są zapisywane w rejestrze kredytów na Twoim koncie.

5.5 Rejestry żądań AI na naszym serwerze

Aby prawidłowo naliczać kredyty, nasz serwer przechowuje na Twoim koncie niewielki rejestr żądania AI dla każdego obciążonego działania AI: wykorzystaną funkcję AI, status, koszt, znaczniki czasu oraz wynik AI (na przykład wygenerowany trening, oszacowanie ze skanowania lub odpowiedź Trenera). Tekst Twoich promptów i zdjęcia nigdy nie są przechowywane w tych rejestrach. Dzienniki aplikacji AI Wellboy są projektowane tak, aby nie zawierać Twoich promptów, zdjęć ani wyników; zawierają identyfikatory kont i żądań, status, opóźnienie i liczbę tokenów. Rejestry żądań są usuwane wraz z Twoim kontem.

6. Zakupy (Wellboy Pro)

• Płatności za Wellboy Pro (subskrypcje i zakupy dożywotnie) są przetwarzane przez App Store firmy Apple lub Google Play na ich własnych zasadach. Nigdy nie otrzymujemy danych Twojej karty ani danych bankowych.
• Używamy RevenueCat, Inc. (USA) jako podmiotu przetwarzającego zarządzającego zakupami. RevenueCat otrzymuje losowy identyfikator Twojego konta Wellboy, potwierdzenie/token zakupu w sklepie oraz historię zakupów tej aplikacji, a także podstawowe dane techniczne zbierane przez jego SDK (model i typ urządzenia, wersję systemu operacyjnego, wersję aplikacji oraz znaczniki czasu ostatniej obecności) i informuje nas, które członkostwo jest aktywne. Jeśli użyto kodu twórcy, zostaje on dołączony do zakupu. Nie wysyłamy do RevenueCat Twojego imienia, adresu e-mail ani treści.
• Nasz serwer otrzymuje za pośrednictwem RevenueCat zdarzenia zakupu (produkt, cena, waluta, czas, identyfikator konta) i przechowuje stan członkostwa na Twoim koncie, a także dziennik zdarzeń używany do celów księgowych, zapobiegania oszustwom i przypisywania sprzedaży do kodów twórców. Twórcy nie mają bezpośredniego dostępu do tych rejestrów; wszelkie raporty sprzedaży przekazywane twórcom nie zawierają identyfikatorów kont i obejmują wyłącznie dane zagregowane.
• Sklepy aplikacji również przechowują historię Twoich zakupów zgodnie z własnymi politykami prywatności (Apple i Google działają jako niezależni administratorzy danych w odniesieniu do transakcji płatniczej).

7. Przetwarzanie odbywające się głównie na Twoim urządzeniu

• Wyzwanie pompek: klatki z kamery są analizowane na urządzeniu za pomocą wykrywania pozy przez ML Kit. Żadne nagrania wideo ani klatki nie są nigdzie przesyłane; sama biblioteka ML Kit przekazuje Google dane telemetryczne (sekcja 3.4), ale nigdy Twoje obrazy ani wyniki wykrywania pozy. Opcjonalne nagranie ekranu jest zapisywane wyłącznie w Twojej bibliotece zdjęć.
• Skanowanie kodów kreskowych: wykrywanie działa na urządzeniu; wysyłane są wyłącznie cyfry kodu kreskowego, przede wszystkim do naszego własnego serwera lustrzanego produktów (food.wellboy.net), a jako źródła zapasowe do Open Food Facts (a w przypadku użytkowników rynku USA do USDA FoodData Central), gdy kopia lustrzana nie zawiera użytecznego produktu. Wyniki z pamięci podręcznej są zwracane bez żadnego żądania sieciowego.
• Wyszukiwanie tekstowe żywności: ogólna baza produktów spożywczych (oparta na otwartych danych Fineli i USDA) jest dołączona do aplikacji, więc wyszukiwanie żywności odbywa się całkowicie na urządzeniu i nie wysyła żadnych danych.
• Dzienne kroki: liczby kroków odczytane z Twojego repozytorium danych zdrowotnych są wyświetlane i oceniane na potrzeby wyzwań na urządzeniu i pozostają na nim.

8. Udostępnianie, polecenia i pomoc

8.1 Kody udostępniania

Tworzenie kodu udostępniania publikuje zamrożoną migawkę wybranej treści (przepisu, treningu, sesji regeneracyjnej lub programu, w tym skompresowanych obrazów) pod losowym kodem w publicznej części naszej bazy danych. Każdy, kto ma kod, może wyświetlić i zaimportować tę migawkę. Migawki nie aktualizują się, gdy później edytujesz oryginał.

Gdy ktoś realizuje Twój kod, zapisujemy identyfikator konta osoby realizującej kod oraz czas, aby można było zliczać poszczególne realizacje. Widzisz liczbę realizacji, nie tożsamości.

Możesz dezaktywować (i ponownie aktywować) swoje kody w dowolnym momencie w Ustawienia > Moje kody udostępniania. Dezaktywowanych kodów nie można już wyświetlać ani realizować.

8.2 Udostępnienia a usunięcie konta

Usunięcie konta również trwale usuwa opublikowane przez Ciebie publiczne migawki udostępniania (migawkę, jej obrazy i rejestry realizacji) w ramach kaskady usuwania opisanej w sekcji 10.3. Treści, które inni użytkownicy już zaimportowali z Twoich kodów, pozostają na ich kontach (po zaimportowaniu stały się ich kopią).

8.3 Polecenia znajomych

Jeśli utworzysz kod znajomego lub wpiszesz taki kod, przechowujemy kod, identyfikatory kont polecającego i poleconego oraz stan nagrody, aby nagroda za polecenie mogła zostać przyznana każdej ze stron jeden raz. Kody znajomych są identyfikatorami udostępnianymi dobrowolnie, a nie sekretami. Rejestry poleceń są usuwane w ramach kaskady usuwania konta.

8.4 Zgłoszenia do pomocy technicznej (Skontaktuj się z nami)

Gdy wysyłasz wiadomość przez Ustawienia > Skontaktuj się z nami, przechowujemy zgłoszenie do pomocy technicznej na Twoim koncie i przekazujemy je e-mailem na nasz adres pomocy technicznej; kopia w naszej kolejce wysyłkowej jest usuwana po 30 dniach. Zgłoszenie do pomocy technicznej zawiera Twoją wiadomość, opcjonalny adres e-mail do kontaktu oraz, w przypadku próśb dotyczących ćwiczeń, opcjonalny podany przez Ciebie link do filmu referencyjnego, a także dane diagnostyczne, których zakres zależy od rodzaju zgłoszenia: zgłoszenia dotyczące funkcji i ćwiczeń zawierają niewielki zestaw (wersję aplikacji, typ kompilacji, platformę i wersję systemu operacyjnego, język aplikacji), natomiast zgłoszenia błędów i prośby o pomoc obejmują dodatkowo model urządzenia, strefę czasową urządzenia, ustawienia regionu i języka (locale), jednostki i motyw, ustawienia powiadomień i synchronizacji danych zdrowotnych, identyfikator konta, typ dostawcy logowania, adres e-mail konta, status planu Pro, poziomu i kredytów, stan synchronizacji oraz liczby (wyłącznie liczby, nigdy treść) głównych typów Twoich danych. Do zgłoszeń błędów dodatkowo dołącza się maksymalnie 12 skróconych, jednolinijkowych komunikatów o błędach z bieżącej sesji aplikacji. Wysyłanie podlega ograniczeniu częstotliwości, aby zapobiegać nadużyciom. Jeśli zgłoszenia do pomocy technicznej nie można wysłać, aplikacja oferuje zamiast tego wstępnie wypełnioną wiadomość e-mail do [email protected]; wiadomość e-mail jest wtedy wysyłana poza aplikacją.

8.5 Systemowy arkusz udostępniania

Treści wysyłane za pośrednictwem menu udostępniania systemu operacyjnego (na przykład eksport danych lub kod udostępniania) trafiają do wybranej przez Ciebie aplikacji i pozostają poza naszą kontrolą.

9. Usługi podmiotów trzecich

Transfery międzynarodowe: administrator ma siedzibę w UE, a zsynchronizowane treści są przechowywane w UE (europe-north1). Niektórzy z naszych podmiotów przetwarzających mają siedzibę w USA (OpenAI w zakresie funkcji AI; RevenueCat w zakresie zarządzania zakupami; Cloudflare w zakresie kopii danych żywności i dostarczania multimediów), a Google może przetwarzać ograniczony zakres danych technicznych w innych lokalizacjach zgodnie z warunkami przetwarzania danych Google Cloud. Jeśli włączysz raportowanie awarii (sekcja 3.7), dane o awariach są przetwarzane przez Google w Stanach Zjednoczonych; ten transfer opiera się na certyfikacji Google LLC w ramach EU-US Data Privacy Framework, a unijne standardowe klauzule umowne są zabezpieczeniem zapasowym. Dostarczanie wiadomości push (sekcja 3.8) odbywa się w globalnej infrastrukturze Google Firebase Cloud Messaging, dlatego tokeny push i dane routingu wiadomości mogą być przetwarzane poza UE na podstawie tych samych warunków przetwarzania danych Google Cloud. Te transfery opierają się na warunkach przetwarzania danych dostawców, unijnych standardowych klauzulach umownych oraz, w stosownych przypadkach, EU-US Data Privacy Framework. Możesz poprosić o kopię zabezpieczeń stosowanych przy tych transferach (na przykład odpowiednich standardowych klauzul umownych), kontaktując się pod adresem [email protected].

10. Przechowywanie, usuwanie i eksport

10.1 Usuwanie treści

Twoje treści są przechowywane do czasu ich usunięcia lub usunięcia konta. Gdy usuniesz pojedynczy element, zachowywany jest minimalny znacznik usunięcia (bez treści), aby Twoje urządzenia zachowały zgodność co do usunięcia; znaczniki są usuwane wraz z kontem. Bajty usuniętych obrazów są również usuwane z serwera.

10.2 Wylogowanie

Wylogowanie przywraca aplikację na tym urządzeniu do stanu fabrycznego. Zsynchronizowane dane pozostają na Twoim koncie w chmurze i wracają po ponownym zalogowaniu. Na konta anonimowe nie można zalogować się ponownie: jeśli korzystasz z Wellboy bez rejestracji i wylogujesz się lub utracisz urządzenie, dostęp do tych danych zostanie bezpowrotnie utracony.

10.3 Usuwanie konta

Ustawienia > Konto > Usuń konto trwale usuwa opublikowane migawki udostępniania, rejestry poleceń znajomych i wszystko przechowywane na Twoim koncie (wszystkie zsynchronizowane kolekcje z sekcji 4.2, rejestry żądań AI, zgłoszenia do pomocy technicznej, status członkostwa, tokeny push), usuwa rekord uwierzytelniania i wymazuje lokalną kopię na urządzeniu. Tej czynności nie można cofnąć. Techniczny rekord zadania usuwania (identyfikator konta i znaczniki czasu postępu, bez treści) jest przechowywany przez 7 dni po zakończeniu, aby upewnić się, że usuwanie dobiegnie końca, a następnie jest automatycznie usuwany. Rekordy zakupów przechowywane przez Apple, Google i RevenueCat oraz nasze rejestry zdarzeń zakupowych i sprzedaży twórców (sekcja 6) są przechowywane po usunięciu konta zgodnie z odpowiednimi zasadami i prawnymi obowiązkami przechowywania (księgowość i zapobieganie oszustwom). Raportów awarii i błędów wysłanych już do Crashlytics (sekcja 3.7) nie można selektywnie usunąć i nie są one powiązane z Twoim kontem; są automatycznie usuwane po upływie ich 90-dniowego okresu przechowywania.

10.4 Eksport

Na stronie Konto znajduje się akcja Eksportuj dane, która tworzy plik ZIP zawierający Twoje dane w formacie JSON (wszystkie zsynchronizowane treści oraz ustawienia aplikacji) i dostępne pliki obrazów należące do aplikacji (awatar, zdjęcia przepisów, zdjęcia postępów i zdjęcia posiłków przechowywane we własnym magazynie aplikacji), a następnie otwiera systemowy arkusz udostępniania, aby umożliwić Ci zapisanie pliku w wybranym miejscu.

Eksport nie obejmuje danych, które są przechowywane wyłącznie na urządzeniu i nigdy nie są synchronizowane: historii czatów z trenerem, list zakupów, dziennych sum kroków i aktywnej energii, stanu wyzwania wodnego oraz wersji roboczych w toku. Nie obejmuje również opisanych w niniejszej polityce serwerowych rekordów operacyjnych (rejestrów żądań AI, zgłoszeń do pomocy technicznej, zdarzeń zakupowych, tokenów push); wysłane przez Ciebie zgłoszenia do pomocy technicznej są rekordami w chmurze, które są usuwane wraz z kontem.

11. Twoje prawa

Ponieważ administrator ma siedzibę w Finlandii, RODO ma zastosowanie do naszego przetwarzania niezależnie od tego, gdzie mieszkasz, a ponadto mogą Ci przysługiwać dodatkowe prawa na mocy prawa Twojego kraju. Masz prawo do:

• dostępu do swoich danych (eksport w aplikacji obejmuje zsynchronizowane treści),
• sprostowania danych (większość wprowadzonych przez Ciebie treści można edytować w aplikacji; w przypadku rekordów, których nie możesz samodzielnie edytować, takich jak wiersze rejestru, skontaktuj się pod adresem [email protected]),
• usunięcia danych (usuń elementy lub całe konto w aplikacji),
• przenoszenia danych (eksport ZIP/JSON),
• sprzeciwu, z przyczyn związanych z Twoją szczególną sytuacją, wobec przetwarzania opartego na naszych prawnie uzasadnionych interesach (sekcja 12), oraz ograniczenia przetwarzania w przypadkach przewidzianych przez RODO,
• wycofania zgody, gdy przetwarzanie opiera się na zgodzie (na przykład udostępnianie danych trenerowi jest zatwierdzane dla każdego żądania; raportowanie awarii można wyłączyć w Ustawieniach, sekcja 3.7; dostęp do aplikacji zdrowotnych oraz uprawnienia dotyczące aparatu, zdjęć, powiadomień i lokalizacji można zmienić w ustawieniach systemu). Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania już przeprowadzonego. Odłączenie aplikacji zdrowotnej zatrzymuje nowe importy; dane już zaimportowane pozostają na Twoim koncie do czasu ich usunięcia,
• złożenia skargi do organu nadzorczego. Naszym wiodącym organem nadzorczym jest Urząd Rzecznika Ochrony Danych w Finlandii (tietosuoja.fi), ponieważ administrator ma siedzibę w Finlandii; możesz również złożyć skargę do organu w swoim kraju zamieszkania.

Aby skorzystać z dowolnego prawa, którego nie obejmują narzędzia w aplikacji, skontaktuj się pod adresem [email protected].

12. Podstawy prawne (RODO)

Twoja data urodzenia jest potrzebna do przeprowadzenia kontroli minimalnego wieku podczas konfigurowania aplikacji, a zakup wymaga danych zbieranych przez formularz płatności sklepu; bez nich nie można ukończyć rejestracji ani zakupu. Wszystko inne, co dodajesz, jest dobrowolne: funkcje po prostu działają bez danych, których nie podasz.

13. Bezpieczeństwo

Dane są szyfrowane podczas przesyłania (TLS) i w spoczynku (szyfrowanie zarządzane przez Google). Dostęp ograniczają zasady bezpieczeństwa dla każdego użytkownika, z domyślną odmową dostępu. Większość interfejsu aplikacji odczytuje lokalną kopię danych (ceny i status członkostwa na ekranie płatności są odczytywane z serwera); chmura jest poza tym jedynie celem synchronizacji, co ogranicza ścieżki ujawniania danych. Salda wirtualnych kredytów i EXP ustalane są na serwerze. Dzienniki aplikacji AI są zaprojektowane tak, aby nie zawierać Twoich poleceń, zdjęć ani wyników (sekcja 5.5); inne dzienniki serwera mogą zawierać identyfikatory i techniczne szczegóły żądań i są używane do obsługi oraz zapobiegania nadużyciom. Nie zawieramy kodu reklamowego podmiotów trzecich ani analityki produktów podmiotów trzecich (komponenty SDK Google zgłaszają ograniczoną telemetrię techniczną, sekcja 3.4). Raportowanie awarii i błędów jest opcjonalne i domyślnie wyłączone (sekcja 3.7).

14. Dzieci

Wellboy jest przeznaczony dla użytkowników w wieku 13 lat i więcej, a w krajach, w których krajowy cyfrowy wiek zgody jest wyższy, dla osób starszych (od 13 do 16 lat w UE/EOG; przykładowo 13 lat w Finlandii oraz 16 lat w Niemczech, Irlandii i Niderlandach). Aplikacja prosi o datę urodzenia i podczas pierwszej konfiguracji, w Ustawieniach oraz w jednorazowym monicie dla kont utworzonych przed wprowadzeniem bramki wiekowej nie akceptuje daty urodzenia, z której wynikałby wiek niższy niż minimalny wiek obowiązujący w miejscu zamieszkania. Nie ma możliwości uzyskania zgody rodzicielskiej: poniżej lokalnego minimalnego wieku nie można korzystać z aplikacji, dlatego świadomie nie zbieramy danych od dzieci poniżej tego wieku.

Zdjęcia postępów są przeznaczone dla użytkowników w wieku 18 lat i więcej. Jeśli masz mniej niż 18 lat, funkcja zdjęć postępów nie jest Ci oferowana i żadne zdjęcie postępów nie jest przechowywane na Twoim urządzeniu, synchronizowane z Twoim kontem ani nigdzie przesyłane. Wszystkie pozostałe funkcje działają normalnie.

15. Zmiany w niniejszej polityce

Wszelkie aktualizacje opublikujemy na stronie https://wellboy.app/privacy, a o istotnych zmianach poinformujemy w aplikacji przed ich wejściem w życie.

16. Język

Niniejsza polityka jest sporządzana i utrzymywana w języku angielskim; tłumaczenia są przygotowywane na podstawie tekstu angielskiego dla wygody. Jeśli tłumaczenie i tekst angielski się różnią, tekst angielski jest wersją, którą utrzymujemy i względem której korygujemy tłumaczenia, a dążymy do tego, aby każda opublikowana wersja językowa była istotnie dokładna.

17. Kontakt

Pankka Group Oy Sukkulatie 10, 87700 Kajaani, Finland Numer identyfikacyjny firmy 3397011-8 [email protected]