Политика конфиденциальности Wellboy

Дата вступления в силу: документ пока не действует (проект).

1. Кто мы

Wellboy управляется компанией Pankka Group Oy, обществом с ограниченной ответственностью, зарегистрированным в Финляндии (идентификатор предприятия 3397011-8), Sukkulatie 10, 87700 Kajaani, Finland. Pankka Group Oy является контролером персональных данных, описанных в настоящей политике.

Контакт по вопросам конфиденциальности: [email protected]

В настоящей политике «Wellboy», «мы» и «нас» означают Pankka Group Oy, а «приложение» означает приложение Wellboy (сборки для iOS, Android и настольных компьютеров).

2. Краткое изложение простым языком

• Приложение работает прежде всего офлайн: твои данные находятся в локальной базе данных на твоем устройстве, а основные функции отслеживания работают без подключения. Синхронизация, функции ИИ, покупки, обмен и онлайн-поиск товаров требуют подключения.
• При наличии подключения твое содержимое синхронизируется с нашей облачной базой данных (Google Cloud Firestore) в регионе ЕС europe-north1 (Финляндия) и хранится под закрытым идентификатором аккаунта, который может читать или изменять только твой аккаунт после входа.
• Ты автоматически начинаешь с анонимного аккаунта и в конце первоначальной настройки регистрируешь способ входа (Apple, Google или электронная почта), чтобы сохранить свои данные на разных устройствах.
• Функции ИИ (сканирование фото блюда, чат с тренером, создание тренировки) отправляют необходимые входные данные через собственные серверы Wellboy в OpenAI для обработки. Приложение обращается к нашему серверу, а ключ API для ИИ хранится как секрет на сервере. Запросы отправляются с отключенным хранением состояния приложения в OpenAI; OpenAI может хранить журналы API для мониторинга злоупотреблений в соответствии со своими условиями (обычно до 30 дней), и ни Wellboy, ни OpenAI не используют твои входные данные для обучения моделей ИИ.
• По желанию ты можешь подключить Apple Health (HealthKit) или Health Connect (Android). Импорт в приложение Wellboy доступен только для чтения. Если ты используешь необязательное приложение-компаньон Apple Watch для записи тренировки, часы сохраняют эту тренировку (с пульсом и активной энергией) в Apple Health на твоих собственных устройствах; они не отправляют эти данные на серверы Wellboy (раздел 3.5).
• Покупки Wellboy Pro обрабатываются Apple или Google; мы никогда не видим данные твоей карты. RevenueCat обрабатывает для нас квитанции о покупках.
• В этой версии мы не используем рекламу и стороннюю продуктовую аналитику. Компоненты Google SDK, используемые приложением (ML Kit, Firebase), передают Google ограниченную техническую телеметрию (разделы 3.4 и 9).
• Отчеты о сбоях необязательны и по умолчанию отключены. Если включить эту функцию, отчеты о сбоях и ошибках (только технические данные, никогда не твое содержимое) поступают в Google Firebase Crashlytics и обрабатываются в США. Ты можешь отключить ее в любое время в Настройках (раздел 3.7).
• Напоминания планируются на твоем устройстве и никогда его не покидают. Наши серверы отправляют только следующие сообщения: необязательные ценовые уведомления о пожизненной покупке и невидимый сигнал, сообщающий приложению, что нужно обновить его собственные данные (раздел 3.8).
• История чата с тренером, списки покупок, ежедневное количество шагов и большинство настроек приложения никогда не загружаются в твой облачный аккаунт. Фото, полученные при сканировании блюд, также остаются на твоем устройстве. Ответ тренера на каждое сообщение, за которое списаны кредиты, хранится в серверной записи запроса ИИ (раздел 5.5).
• Коды для обмена публикуют неизменяемый публичный снимок содержимого, которым ты поделился; любой, у кого есть код, может его просмотреть.
• Ты можешь экспортировать свои данные в ZIP-файл (JSON + файлы изображений) и прямо в приложении удалить свой аккаунт (вместе со всеми синхронизированными данными).

3. Какие данные мы собираем

3.1 Данные аккаунта

• Анонимный аккаунт (случайный ID аккаунта) автоматически создается при первом подключении приложения, а первоначальная настройка предлагает тебе зарегистрировать способ входа.
• При регистрации или привязке способа входа мы сохраняем идентификаторы, которые предоставляет этот провайдер: твой адрес электронной почты и ID аккаунта у провайдера (Sign in with Apple, Google Sign-In или электронная почта + пароль), а также статус подтверждения электронной почты. Если провайдер передает его, мы можем также получить имя, связанное с аккаунтом у этого провайдера (например, из Sign in with Apple).
• Мы не предлагаем аутентификацию по телефону/SMS.

3.2 Добавляемое тобой содержимое (данные о здоровье и фитнесе)

В зависимости от используемых тобой функций это может включать:

• приемы пищи и записи о питании (продукты, порции, энергетическая ценность, макронутриенты), питьевой режим, сводки ежедневных отметок дня и цели по питанию,
• твои цели (основные тренировочные цели, целевой вес, недельная цель по тренировкам, уровень повседневной активности),
• записи о качестве сна,
• тренировки: собственные шаблоны тренировок, завершенные сессии (подходы, веса, повторения, время, расстояния), запланированные тренировки и тренировочные программы,
• рецепты и содержимое кулинарной книги, включая фотографии рецептов,
• списки покупок (только на устройстве),
• параметры тела и фото прогресса (фото прогресса доступны только пользователям в возрасте 18 лет и старше, см. раздел 14),
• данные, импортированные из Apple Health или Health Connect (раздел 3.5),
• результаты челленджей (например, результаты челленджа по отжиманиям),
• серии дней, очки опыта (XP), история виртуальных кредитов и квитанции об активациях, выполненных за виртуальные кредиты,
• записи об обмене (метаданные созданных тобой кодов для обмена) и записи программы приглашения друзей (раздел 8.3),
• необязательная фотография аватара,
• сообщения в чате с тренером (хранятся только на твоем устройстве),
• твой профиль: имя, пол и дата рождения (используются для расчета калорий, персонализации тренера и проверки минимального возраста; твой возраст вычисляется на лету и никогда не сохраняется).

Многие из этих данных относятся к здоровью. По умолчанию мы считаем все эти данные личными и храним их только для предоставления тебе услуги.

3.3 Настройки

Единицы измерения, язык, тема, настройки уведомлений, настройки тренировок по умолчанию, необязательное примерное местоположение на уровне страны/города и необязательный путь к фотографии профиля хранятся только на твоем устройстве (см. 4.3). Исключения: имя, пол и дата рождения, которые синхронизируются с облачным аккаунтом как часть твоего профиля (вместе с флагом, указывающим, что ты завершил первоначальную настройку, и, если ты ответил, с выбранным тобой необязательным вариантом «откуда ты о нас узнал», раздел 3.6), чтобы они были доступны на новом устройстве.

Подробнее о местоположении: ты можешь сам ввести страну и город либо предоставить операционной системе разрешение на примерное местоположение. Приложение никогда не запрашивает точное местоположение GPS. Местоположение используется только для регионального содержания.

3.4 Данные, собираемые автоматически

• Мы не включаем рекламные SDK и сторонние SDK продуктовой аналитики. Используемые приложением компоненты Google SDK (ML Kit для распознавания позы, Firebase) передают Google ограниченную техническую телеметрию (данные об устройстве, приложении, конфигурации, производительности и ошибках; см. раздел 9).
• Использование сервисов Google неизбежно раскрывает Google как нашему поставщику услуг стандартные технические данные (IP-адрес, сведения об устройстве, временные метки), когда приложение обращается к конечным точкам аутентификации, базы данных или сервера.
• Приложение использует Firebase App Check для аттестации устройства и приложения, чтобы проверить, что запросы исходят из настоящего, немодифицированного приложения Wellboy. В ходе аттестации происходит обмен токеном целостности, выданным Apple или Google; этот токен не идентифицирует тебя лично.
• Чтобы справедливо применять дневные ограничения в разных часовых поясах, наш сервер сохраняет в аккаунте последнее имя часового пояса IANA твоего устройства (например, “Europe/Helsinki”) и использует его (или Europe/Helsinki, если часовой пояс не сохранен) для определения границ дня. Часовой пояс представляет собой приблизительный региональный сигнал, а не отслеживание местоположения.
• При сканировании штрихкода на наш собственный сервис-зеркало товаров (food.wellboy.net, размещенный на Cloudflare) отправляются только цифры штрихкода. Если зеркало не возвращает пригодный товар (неизвестный штрихкод, отсутствуют значения пищевой ценности или произошла ошибка зеркала), цифры затем отправляются в Open Food Facts, а для пользователей на рынке США цифры также отправляются в USDA FoodData Central для резервного поиска. Каждый сервис неизбежно видит твой IP-адрес как часть запроса; идентификатор аккаунта не отправляется. Результаты со значениями пищевой ценности кэшируются на устройстве на 30 дней, поэтому повторное сканирование того же товара не создает сетевого запроса.
• Демонстрационные видео упражнений транслируются с нашего CDN (cdn.wellboy.net), который видит стандартные журналы веб-запросов.
• Необязательные отчеты о сбоях и ошибках по умолчанию отключены и описаны в разделе 3.7; пока функция отключена, для этой цели ничего не собирается.
• На iOS и Android приложение регистрирует токен маршрутизации push-уведомлений в Google Firebase Cloud Messaging, чтобы наш сервер мог доставлять сообщения, описанные в разделе 3.8. Токен хранится в твоем аккаунте и создается даже если ты отклонил видимые уведомления (через него также проходит невидимый сигнал обновления).

3.5 Импорт из приложений здоровья (Apple Health / Health Connect)

Если ты подключишь Wellboy к Apple Health (iOS) или Health Connect (Android), приложение с твоего разрешения считывает только следующие типы данных:

• вес, процент жировой ткани, безжировая масса тела, пульс в покое и (на iOS) окружность талии: импортированные записи хранятся как вручную введенные параметры тела, помечаются источником и синхронизируются с твоим облачным аккаунтом, как и другие параметры тела,
• ежедневное количество шагов и, если в настройках Wellboy ты включил калории тренировок, ежедневный расход активной энергии: отражаются в представлении активности и челленджах, хранятся только на твоем устройстве и никогда не синхронизируются,
• показания пульса во время тренировки (только если ты включил пульс во время тренировки): считываются в реальном времени, чтобы показывать твой пульс и расчетные калории во время и после занятия; сами показания никогда не сохраняются; сохраняется только сохраненная тобой сводка тренировки.

Импорт из хранилища здоровья телефона доступен только для чтения: телефонное приложение Wellboy считывает только перечисленные выше типы данных и не записывает данные в твое хранилище здоровья.

Приложение-компаньон Apple Watch: если ты установишь необязательное приложение Wellboy для часов и запишешь с его помощью тренировку, часы измеряют занятие через HealthKit и с предоставленными тобой на часах разрешениями HealthKit сохраняют тренировку с пульсом и активной энергией в Apple Health, чтобы тренировка учитывалась в кольцах активности. Эта запись происходит внутри твоего собственного хранилища здоровья на твоих собственных устройствах; часы не загружают тренировку, данные о пульсе или энергии на серверы Wellboy.

Ты можешь в любое время отключить соединение в настройках ОС (iOS: Настройки > Health > Доступ к данным; Android: приложение Health Connect), а необязательную автоматическую синхронизацию пополнения можно отключить в настройках Wellboy. Данные о здоровье никогда не используются для рекламы или маркетинга и никогда не передаются третьим лицам для их собственных целей.

3.6 Откуда ты узнал о нас (необязательный маркетинговый вопрос)

В конце первоначальной настройки мы спрашиваем, откуда ты узнал о Wellboy. Отвечать необязательно, и ты можешь продолжить, ничего не выбирая. Если ты ответишь, выбранный тобой вариант (друг, Instagram, TikTok, YouTube, Facebook, магазин приложений, подкаст или «другое») сохраняется вместе с твоим профилем (раздел 4.2) и используется, чтобы понять, какие каналы приводят пользователей в Wellboy. Это маркетинговые данные, а не диагностика: они не входят в отчеты о сбоях, описанные в разделе 3.7, на выбранную тобой платформу ничего не отправляется, данные не используются для рекламы или отслеживания и удаляются вместе с аккаунтом.

3.7 Отчеты о сбоях и ошибках (необязательно, по умолчанию отключено)

Чтобы находить и исправлять сбои и скрытые ошибки, приложение включает Firebase Crashlytics (Google). Отчеты о сбоях по умолчанию отключены и включаются только если ты активируешь их на странице первоначальной настройки, где задается этот вопрос, или позднее в Настройках. Они никогда не выбираются заранее и никогда не включаются как побочный эффект чего-либо другого. Пока функция отключена, для этой цели ничего не собирается и не отправляется.

Если ты включишь функцию, Wellboy отправляет в Google Crashlytics:

• отчеты о сбоях и нефатальных ошибках (ошибках, которые приложение перехватило и после которых продолжило работу, например, неудачной попытке синхронизации или неудачном обращении к серверу), вместе с технической трассировкой ошибки,
• модель устройства, версию операционной системы, версию приложения и техническое состояние устройства в момент отчета (например, доступную память),
• идентификатор установки Crashlytics: случайный ID установки приложения, используемый для подсчета числа устройств, затронутых проблемой. Мы не устанавливаем идентификатор, который связывал бы отчет с твоим аккаунтом Wellboy,
• временные метки,
• для нефатальных ошибок: небольшой набор технических значений контекста: подсистему приложения, сообщившую об ошибке, технические коды причин, коды ошибок и статуса HTTP, а также небольшие счетчики. Разрешенные ключи контекста образуют фиксированный технический список разрешений, соблюдение которого обеспечивается кодом приложения.

Отчеты о сбоях и ошибках никогда не содержат твоего содержимого или данных о здоровье: ни тренировок, ни приемов пищи, ни веса или параметров тела, ни фотографий, ни имен, ни адресов электронной почты, ни сообщений чата с тренером.

Данные о сбоях обрабатываются Google в США (Crashlytics не предлагает выбрать место хранения данных). Это намеренное, задокументированное исключение из описанного в разделе 4.2 хранения в ЕС и одна из причин, по которым функция включается по желанию. Передача основана на сертификации Google LLC по Рамочной программе защиты данных ЕС–США, а резервной гарантией служат Стандартные договорные положения ЕС (раздел 9).

Отчеты о сбоях и их идентификаторы хранятся 90 дней, после чего автоматически удаляются. Crashlytics не поддерживает удаление данных для отдельного пользователя: уже отправленные отчеты нельзя впоследствии удалить выборочно, поэтому отключение отчетов или удаление аккаунта Wellboy не удаляет задним числом уже отправленные отчеты; они удаляются по истечении 90-дневного периода. Поскольку идентификатор, связанный с аккаунтом, не задается, отчеты также нельзя найти по пользователю.

Правовым основанием этой обработки является твое согласие (раздел 12). Ты можешь отозвать его в любое время, отключив отчеты о сбоях в Настройках; изменение полностью вступает в силу при следующем запуске приложения.

3.8 Push-уведомления и токен маршрутизации push-уведомлений

Уведомления в Wellboy поступают из двух разных источников, и эта разница важна:

• Напоминания создаются на твоем устройстве. Напоминания о тренировках, объединенное вечернее напоминание об отметке дня и кредитах, утренний дайджест и напоминания о питьевом режиме планируются приложением локально на основе данных, уже находящихся на твоем телефоне. Они никогда не покидают устройство, и сервер не участвует в их отправке.
• Только два вида сообщений поступают с серверов Wellboy, доставляясь через Google Firebase Cloud Messaging (FCM): необязательные ценовые уведомления о пожизненной покупке (предупреждение, когда текущий ценовой уровень почти заполнен, и уведомление в последний час до его закрытия), показываемые только если уведомления разрешены для приложения; и невидимый сигнал фонового обновления, который сообщает приложению, что нужно получить свежие данные из твоего аккаунта (например, сразу после того, как наш сервер начислил тебе очки опыта). Сигнал обновления ничего тебе не показывает и не содержит содержимого, а только инструкцию обновить данные.

Ценовые уведомления адресуются анонимной теме для каждой валюты (например, “price_eur” для всех, у кого цены в магазине указаны в евро), а не лично тебе: сервер не выбирает получателей по аккаунтам.

Для маршрутизации этих сообщений на устройстве хранится регистрационный токен FCM: адрес маршрутизации push-уведомлений, выданный Google Firebase Cloud Messaging. Он идентифицирует установку приложения для доставки сообщений; это не ID аккаунта, и он не содержит личных данных. Приложение хранит текущий токен каждого устройства в данных твоего аккаунта (users/{uid}/pushTokens), вместе с платформой (“ios” или “android”) и временными метками создания/обновления, и использует его исключительно для доставки описанных выше сообщений: никогда для рекламы, профилирования или отслеживания между приложениями.

Жизненный цикл токена: операционная система и Firebase SDK время от времени обновляют токен, после чего приложение заменяет сохраненный токен. Выход из аккаунта удаляет токен устройства из твоего аккаунта по мере возможности; если Google сообщает, что токен больше недействителен, наш сервер автоматически удаляет его; а записи токена удаляются вместе со всем остальным в аккаунте, когда ты удаляешь аккаунт (раздел 10.3). Токен создается для сигнала фонового обновления даже если ты отклонил разрешение на уведомления (сигнал обновления ничего не показывает, поэтому операционная система не требует для него разрешения); отказ от разрешения означает, что тебе никогда не показывается видимое уведомление. Сами push-сообщения никогда не содержат твоего содержимого или данных о здоровье.

4. Где хранятся твои данные

4.1 На твоем устройстве

Локальная база данных является рабочей копией всего, поэтому основные функции отслеживания работают офлайн; онлайн-функции (синхронизация, функции ИИ, покупки, обмен и онлайн-поиск товаров) требуют подключения. Файлы изображений (аватар, фотографии рецептов, фотографии, полученные при сканировании блюд, фотографии прогресса) хранятся в закрытом хранилище приложения на устройстве.

4.2 В нашем облаке (синхронизируемые коллекции)

Когда устройство подключено к интернету, приложение синхронизирует перечисленные ниже данные с Cloud Firestore (регион europe-north1, Финляндия), предоставляемым Google в качестве нашего обработчика данных. Данные каждого пользователя хранятся под его собственным закрытым идентификатором аккаунта:

Примечания об изображениях:

• Аватары, фотографии рецептов и фотографии прогресса синхронизируются в виде небольших сжатых блоков изображений и переходят вместе с тобой на новое устройство. При удалении любого из них байты изображения также удаляются с сервера.
• Фотографии, полученные при сканировании блюд, не синхронизируются: они хранятся только на твоем устройстве как миниатюры блюд. Запись о приеме пищи синхронизирует путь к файлу фотографии как часть текстовых метаданных, но байты изображения никогда не загружаются.

Помимо синхронизируемых данных, наш сервер хранит в твоем аккаунте небольшие операционные записи: записи запросов ИИ (раздел 5.5), обращения в службу поддержки (раздел 8), статус членства Pro (раздел 6) и токены маршрутизации push-уведомлений твоих устройств (раздел 3.8).

4.3 Никогда не синхронизируется (только на устройстве)

История чата с тренером, списки покупок, ежедневное количество шагов и расход активной энергии, состояние челленджа по воде, настройки приложения, кроме профиля (включая поля страны/города и путь к фотографии профиля), фотографии, полученные при сканировании блюд, и незавершенные черновики блюд остаются на твоем устройстве и не загружаются.

4.4 Контроль доступа

Доступ к нашей базе данных контролируется правилами безопасности с запретом по умолчанию: только запросы, прошедшие аутентификацию твоего аккаунта, могут читать или записывать синхронизируемые данные, а описанные в этой политике серверные записи (например, события покупок и публичные снимки обмена) доступны для чтения только в пределах, описанных в соответствующих разделах. Правила хранятся под управлением версий и изменяются только при явном развертывании.

5. Функции ИИ (OpenAI)

Все запросы к ИИ проходят через собственный сервер Wellboy (функцию Google Cloud в ЕС), который хранит ключ API ИИ как серверный секрет, проверяет лимиты использования твоего тарифа и передает OpenAI только необходимые для обработки входные данные. Поскольку запрос к OpenAI выполняется нашим сервером, OpenAI получает сетевой адрес сервера, а не твой IP-адрес, и Wellboy не добавляет в запрос ID твоего аккаунта (введенный тобой текст передается как есть, поэтому не вводи идентификаторы, которые не хочешь отправлять). Запросы отправляются с отключенным хранением состояния приложения в OpenAI (“store: false”), что наш сервер обеспечивает для каждого запроса; OpenAI может хранить журналы API для мониторинга злоупотреблений в соответствии со своими условиями (обычно до 30 дней). Ни Wellboy, ни OpenAI не используют твои входные данные для обучения моделей ИИ.

5.1 Сканирование фотографии блюда

Когда ты сканируешь блюдо, фотография обычно обрезается до квадратного фрагмента по центру и уменьшается на твоем устройстве (примерно до 768 px); если обработка не удается, вместо нее отправляется исходная фотография. Изображение вместе с необязательными названием и заметками, которые ты ввел, отправляется для оценки питательности. Оценка сохраняется в твоем журнале питания. Сама фотография хранится только на твоем устройстве как миниатюра карточки блюда; Wellboy не загружает ее в хранилище под управлением Wellboy.

5.2 Чат с тренером

Сообщения, которые ты вводишь тренеру с ИИ, отправляются для обработки вместе с несколькими последними сообщениями беседы. Тренер может запросить данные приложения, но данные передаются только после того, как ты явно одобришь конкретную карточку запроса в чате. После одобрения на твоем устройстве создается и отправляется компактная текстовая сводка (недавние тренировки, питание за подтвержденные дни, сон, параметры тела или серия дней). С устройства уходит ровно тот текст сводки, который показан и сохранен в чате, а не исходная база данных. История чата хранится только на твоем устройстве и не загружается как беседа; однако ответ тренера на каждое сообщение, за которое списаны кредиты, сохраняется в описанной в разделе 5.5 серверной записи запроса ИИ.

5.3 Генерация тренировок

Если ты используешь генерацию тренировок с помощью ИИ, твой список оборудования, уровень опыта и выбранные тобой параметры генератора (время, место, фокус, необязательные пожелания в свободной форме) отправляются для составления предложения тренировки.

5.4 Лимиты использования и списание

Действия ИИ расходуют виртуальные кредиты в приложении на бесплатном тарифе и на обоих тарифах подпадают под дневные и месячные лимиты как мера против злоупотреблений (лимиты добросовестного использования Pro опубликованы в условиях использования, а приложение показывает оставшееся количество использований). Списания и возвраты записываются в журнале кредитов твоего аккаунта.

5.5 Серверные записи запросов ИИ

Чтобы правильно списывать кредиты, наш сервер хранит в твоем аккаунте небольшую запись запроса ИИ для каждого действия ИИ, за которое списаны кредиты: использованная функция ИИ, статус, стоимость, временные метки и результат ИИ (например, созданная тренировка, оценка при сканировании или ответ тренера). Текст твоего запроса и фотографии в этих записях никогда не сохраняются. Журналы приложения Wellboy для ИИ спроектированы так, чтобы не содержать твои запросы, фотографии и результаты; они содержат идентификаторы (аккаунта и запроса), статус, задержку и количество токенов. Записи запросов удаляются вместе с твоим аккаунтом.

6. Покупки (Wellboy Pro)

• Оплата Wellboy Pro (подписок и покупок доступа навсегда) обрабатывается App Store от Apple или Google Play в соответствии с их условиями. Мы никогда не получаем данные твоей карты или банковские реквизиты.

• Мы используем RevenueCat, Inc. (USA) как нашего обработчика управления покупками. RevenueCat получает твой случайный ID аккаунта Wellboy, квитанцию или токен покупки в магазине и историю покупок в этом приложении, а также базовые технические данные, которые собирает его SDK (модель и тип устройства, версия ОС, версия приложения и временные метки последнего обнаружения), и сообщает нам, какое членство активно. Если ты использовал код автора, он прикрепляется к покупке. Мы не отправляем RevenueCat твое имя, адрес электронной почты или содержимое.

• Наш сервер получает через RevenueCat события покупок (продукт, цена, валюта, время, ID аккаунта) и сохраняет в твоем аккаунте статус членства, а также журнал событий, используемый для бухгалтерского учета, предотвращения мошенничества и атрибуции продаж по кодам авторов. Авторы не имеют прямого доступа к этим записям; любые отчеты о продажах, которые мы предоставляем авторам, не содержат ID аккаунтов и включают только агрегированные показатели.

• Сами магазины приложений также хранят твою историю покупок в соответствии со своими политиками конфиденциальности (Apple и Google выступают независимыми контролерами операции оплаты).

7. Обработка, остающаяся преимущественно на твоем устройстве

• Челлендж по отжиманиям: кадры камеры анализируются на устройстве с помощью ML Kit для распознавания позы. Видео или кадры никуда не передаются; сама библиотека ML Kit отправляет Google техническую телеметрию (раздел 3.4), но никогда не отправляет твои изображения или результаты распознавания позы. Необязательная запись экрана сохраняется только в твоей собственной библиотеке фотографий.
• Сканирование штрихкодов: распознавание выполняется на устройстве; за пределы устройства отправляются только цифры штрихкода, прежде всего в наш собственный сервис-зеркало товаров (food.wellboy.net), а когда в зеркале нет пригодного товара, цифры отправляются в Open Food Facts, а для пользователей на рынке США цифры также отправляются в USDA FoodData Central в качестве резервных источников. Кэшированные результаты предоставляются без сетевого запроса.
• Поиск продуктов по тексту: общая база продуктов (на основе открытых данных Fineli и USDA) встроена в приложение, поэтому поиск продуктов выполняется полностью на устройстве и ничего не передает.
• Ежедневные шаги: количество шагов, считываемое из твоего хранилища здоровья, показывается и оценивается для челленджей на устройстве и остается там.

8. Обмен, программа приглашения друзей и поддержка

8.1 Коды для обмена

Создание кода для обмена публикует неизменяемый снимок выбранного содержимого (рецепта, тренировки, сессии восстановления или программы, включая сжатые изображения) под случайным кодом в общедоступной области нашей базы данных. Любой, у кого есть код, может просмотреть и импортировать этот снимок. Снимки не обновляются, когда ты позднее изменяешь оригинал.

Когда кто-то активирует твой код, мы записываем ID аккаунта пользователя, активировавшего код, и время, чтобы считать отдельные активации. Ты видишь количество, а не личности.

Ты можешь деактивировать (и повторно активировать) свои коды в любое время в разделе Настройки > Мои коды для обмена. Деактивированные коды больше нельзя просматривать или активировать.

8.2 Обмен и удаление аккаунта

Удаление аккаунта также навсегда удаляет опубликованные тобой публичные снимки обмена (снимок, его изображения и записи об активациях) в рамках описанного в разделе 10.3 каскада удаления. Содержимое, которое другие пользователи уже импортировали по твоим кодам, остается в их аккаунтах (при импорте оно стало их копией).

8.3 Программа приглашения друзей

Если ты создаешь код приглашения друга или вводишь такой код, мы храним код, ID аккаунтов пригласившего и приглашенного пользователей, а также статус вознаграждения, чтобы вознаграждение за приглашение можно было выдать каждой стороне один раз. Коды приглашения друзей являются идентификаторами, которыми делятся по собственному выбору, а не секретами. Записи программы приглашения друзей удаляются в каскаде удаления аккаунта.

8.4 Обращения в службу поддержки (Связаться с нами)

Когда ты отправляешь сообщение через Настройки > Связаться с нами, мы сохраняем обращение в твоем аккаунте и пересылаем его по электронной почте на наш адрес поддержки; копия в нашей очереди отправки удаляется через 30 дней. Обращение содержит твое сообщение, необязательный контактный адрес электронной почты и, в запросах об упражнениях, необязательную ссылку на предоставленное тобой эталонное видео, а также диагностические данные, объем которых зависит от типа запроса: запросы о функциях и упражнениях содержат компактный набор данных (версия приложения, тип сборки, платформа и версия ОС, язык приложения), а отчеты об ошибках и запросы о помощи дополнительно включают модель устройства, часовой пояс устройства, регион и языковые настройки (локаль), единицы измерения и тему, настройки уведомлений и синхронизации здоровья, ID аккаунта, тип провайдера входа, адрес электронной почты аккаунта, статус Pro/уровня/кредитов, статус синхронизации и счетчики основных типов твоих данных (только числа, никогда не содержимое). К отчетам об ошибках дополнительно прикрепляется до 12 усеченных однострочных сообщений об ошибках из текущего сеанса приложения. Для предотвращения злоупотреблений действует ограничение частоты отправки. Если обращение не удается отправить, приложение предлагает вместо этого заранее заполненное письмо на [email protected]; затем письмо отправляется вне приложения.

8.5 Системное меню «Поделиться»

Содержимое, которое ты отправляешь через системное меню «Поделиться» (например, экспорт данных или код для обмена), передается выбранному тобой приложению и находится вне нашего контроля.

9. Сторонние сервисы

Международная передача данных: контролер учреждён в ЕС, а синхронизированное содержимое хранится в ЕС (europe-north1). Некоторые наши обработчики находятся в США (OpenAI: для функций ИИ; RevenueCat: для управления покупками; Cloudflare: для зеркала товаров и CDN для медиаконтента), а Google может обрабатывать ограниченные технические данные в других местах в соответствии с условиями обработки данных Google Cloud. Если ты включишь отчёты о сбоях (раздел 3.7), данные о сбоях будут обрабатываться Google в США; эта передача основана на сертификации Google LLC по EU-US Data Privacy Framework, а Стандартные договорные положения ЕС служат резервной гарантией. Доставка push-сообщений (раздел 3.8) выполняется через глобальную инфраструктуру Google Firebase Cloud Messaging, поэтому push-токены и данные маршрутизации сообщений могут обрабатываться за пределами ЕС на основании тех же условий обработки данных Google Cloud. Эти передачи основаны на условиях обработки данных поставщиков, Стандартных договорных положениях ЕС и, если применимо, EU-US Data Privacy Framework. Ты можешь запросить копию гарантий, используемых для этих передач (например, соответствующих Стандартных договорных положений), написав на [email protected].

10. Хранение, удаление, экспорт

10.1 Удаление содержимого

Твоё содержимое хранится, пока ты не удалишь его или свой аккаунт. При удалении отдельного элемента сохраняется минимальная отметка об удалении (без содержимого), чтобы на твоих устройствах удаление было согласовано; отметки удаляются вместе с аккаунтом. Байты удалённых изображений также стираются с сервера.

10.2 Выход из аккаунта

Выход из аккаунта стирает приложение на этом устройстве и возвращает его к заводскому состоянию. Синхронизированные данные остаются в твоём облачном аккаунте и снова появляются после повторного входа. В анонимный аккаунт нельзя снова войти: если ты пользуешься Wellboy без регистрации и выйдешь из аккаунта или потеряешь устройство, доступ к этим данным будет безвозвратно потерян.

10.3 Удаление аккаунта

Настройки > Аккаунт > Удалить аккаунт навсегда удаляет опубликованные снимки обмена, записи программы приглашения друзей и всё, что хранится в твоём аккаунте (все синхронизированные коллекции из раздела 4.2, записи запросов ИИ, обращения в службу поддержки, статус членства, push-токены), удаляет запись аутентификации и стирает локальную копию на устройстве. Это действие нельзя отменить. Техническая запись задачи удаления (ID аккаунта и временные метки хода выполнения, без содержимого) хранится в течение 7 дней после завершения, чтобы убедиться, что удаление завершено, а затем автоматически удаляется. Записи о покупках, хранящиеся у Apple, Google и RevenueCat, а также наши записи о событиях покупок и продажах авторов (раздел 6) сохраняются после удаления аккаунта в соответствии с их политиками и установленными законом обязанностями по хранению (бухгалтерский учёт и предотвращение мошенничества). Отчёты о сбоях и ошибках, уже отправленные в Crashlytics (раздел 3.7), нельзя удалить выборочно, и они не связаны с твоим аккаунтом; они автоматически удаляются по окончании 90-дневного периода хранения.

10.4 Экспорт

На странице «Аккаунт» есть действие Экспортировать данные, которое создаёт ZIP-файл с твоими данными в формате JSON (всё синхронизированное содержимое плюс настройки приложения) и доступными файлами изображений, принадлежащими приложению (аватар, фотографии рецептов, фотографии прогресса и фотографии блюд, хранящиеся в собственном хранилище приложения), а затем открывает системное меню обмена, чтобы ты мог сохранить файл там, где хочешь.

Экспорт не включает данные, которые существуют только на устройстве и никогда не синхронизируются: историю чата с тренером, списки покупок, ежедневное количество шагов и активную энергию, состояние челленджа по воде и незавершённые черновики. Он также не включает описанные в этой политике операционные записи на сервере (записи запросов ИИ, обращения в службу поддержки, события покупок, push-токены); отправленные тобой обращения в службу поддержки являются облачными записями, которые удаляются вместе с аккаунтом.

11. Твои права

Поскольку контролер учреждён в Финляндии, GDPR применяется к нашей обработке независимо от того, где ты живёшь, и у тебя могут быть дополнительные права по законодательству своей страны. Ты имеешь право:

• получить доступ к своим данным (экспорт в приложении охватывает синхронизированное содержимое),
• исправить их (большую часть введённого тобой содержимого можно редактировать в приложении; для записей, которые ты не можешь изменить сам, например строк реестра, обратись по адресу [email protected]),
• удалить их (удалить отдельные элементы или весь аккаунт в приложении),
• на переносимость данных (экспорт в ZIP/JSON),
• возражать, по основаниям, связанным с твоей конкретной ситуацией, против обработки, основанной на наших законных интересах (раздел 12), и ограничить обработку в случаях, предусмотренных GDPR,
• отозвать согласие, если обработка основана на согласии (например, обмен данными с тренером одобряется для каждого запроса; отчётность о сбоях отключается в Настройках, раздел 3.7; доступ к приложениям здоровья, камере, фотографиям, уведомлениям и разрешениям на местоположение можно изменить в настройках ОС). Отзыв согласия не влияет на законность обработки, выполненной до этого. Отключение приложения для здоровья прекращает новые импорты; уже импортированные данные остаются в твоём аккаунте, пока ты их не удалишь,
• подать жалобу в надзорный орган. Нашим ведущим надзорным органом является Управление уполномоченного по защите данных Финляндии (tietosuoja.fi), поскольку контролер учреждён в Финляндии; ты также можешь подать жалобу в орган по месту своего жительства.

Чтобы воспользоваться любым правом, которое не поддерживают инструменты приложения, напиши на [email protected].

12. Правовые основания (GDPR)

Твоя дата рождения нужна для прохождения проверки минимального возраста при настройке приложения, а для покупки требуются данные, которые собирает платёжная форма магазина; без них нельзя завершить регистрацию или покупку. Всё остальное, что ты добавляешь, добровольно: функции просто работают без данных, которые ты не указываешь.

13. Безопасность

Данные шифруются при передаче (TLS) и при хранении (шифрование, управляемое Google). Доступ ограничен правилами безопасности для каждого пользователя, запрещающими доступ по умолчанию. Большая часть интерфейса приложения читает локальную копию твоих данных (цены и статус членства на экране оплаты читаются с сервера); в остальном облако служит целью синхронизации, что сокращает пути раскрытия данных. Балансы виртуальных кредитов и XP определяются на сервере. Журналы приложения ИИ спроектированы так, чтобы не содержать твоих запросов, фотографий и результатов (раздел 5.5); другие журналы сервера могут содержать идентификаторы и технические сведения о запросах и используются для работы системы и предотвращения злоупотреблений. Мы не включаем сторонний рекламный код и стороннюю продуктовую аналитику (компоненты Google SDK передают ограниченную техническую телеметрию, раздел 3.4). Отчёты о сбоях и ошибках необязательны и по умолчанию отключены (раздел 3.7).

14. Дети

Wellboy предназначен для пользователей в возрасте 13 лет и старше, а если установленный национальным законодательством возраст цифрового согласия выше, применяется он (от 13 до 16 лет в ЕС/ЕЭЗ; например, 13 лет в Финляндии и 16 лет в Германии, Ирландии и Нидерландах). Приложение запрашивает дату рождения и не принимает дату, соответствующую возрасту ниже минимального, действующего по месту твоего проживания, при первоначальной настройке, в Настройках и в однократном запросе для аккаунтов, созданных до появления проверки возраста. Варианта согласия родителей нет: до местного минимального возраста пользоваться приложением нельзя, поэтому мы заведомо не собираем данные детей младше этого возраста.

Фотографии прогресса предназначены для пользователей в возрасте 18 лет и старше. Если тебе меньше 18 лет, функция фотографий прогресса тебе не предлагается, и ни одна фотография прогресса не хранится на твоём устройстве, не синхронизируется с аккаунтом и не загружается никуда. Все остальные функции работают как обычно.

15. Изменения в этой политике

Мы будем публиковать обновления на https://wellboy.app/privacy и сообщать в приложении о существенных изменениях до их вступления в силу.

16. Язык

Эта политика составлена и ведётся на английском языке; переводы подготовлены на основе английского текста для удобства. Если перевод и английский текст различаются, английский текст является версией, которую мы поддерживаем и с которой сверяем исправления переводов; мы стремимся, чтобы каждый опубликованный перевод оставался точным по существу.

17. Контакты

Pankka Group Oy Sukkulatie 10, 87700 Kajaani, Finland Business ID 3397011-8 [email protected]