Політика конфіденційності

1. Хто ми

Calorize — це щоденник харчування і самопочуття, оператором якого є Ляля Сахно (фізична особа-підприємець, Україна). Коли в цій політиці згадується «ми», «нас» або «Calorize» — мається на увазі цей оператор. Контакт: [email protected].

Ця політика пояснює, які персональні дані ми збираємо, навіщо, з ким ділимося та які у вас є права. Вона стосується сайту calorize.ai, PWA-додатку Calorize та обгорткових iOS/Android-додатків.

2. Які дані ми збираємо

Дані акаунту

• Імʼя, email, пароль (у хешованому вигляді) — при реєстрації.
• Ідентифікатор Google (Google ID) та email — при вході через Google.
• Ідентифікатор користувача Apple (Apple ID) та email — при вході через Apple.
• Мітка часу підтвердження email.

Дані здоровʼя та фітнесу

• Тілесні дані: стать, дата народження, зріст, вага, відсоток жиру, заміри тіла.
• Цілі: цільова вага, ціль по калоріям/макросам, коефіцієнт активності.
• Щоденні записи в харчовому щоденнику: продукти, рецепти, розміри порцій, тип прийому їжі, мітки часу.
• Споживання води, тренування, журнал інʼєкцій пептидів (де застосовується).
• Дані, імпортовані з Apple Health / Health Connect — лише якщо ви ввімкнули синхронізацію в мобільному застосунку (див. окремий розділ нижче).
• Довільні повідомлення, які ви надсилаєте Мірі (AI-асистент), та збережені факти памʼяті.

Фото-дані (камера)

Коли ви фотографуєте страву чи етикетку в застосунку, зображення надсилається до Google (Gemini) для розпізнавання (назва їжі, орієнтовна порція, поживні речовини). Невелика копія зберігається на наших серверах разом із чатом цього дня, щоб ви бачили її там, і автоматично видаляється протягом 3 днів. Якщо розпізнати не вдалося, фото зберігається до 30 хвилин, щоб можна було повторити спробу без нового знімка. Текстовий результат розпізнавання зберігається у вашому щоденнику.

Платіжні дані

• Через веб: ідентифікатори рахунків Monobank, збережений токен картки (тільки для користувачів, що увімкнули автоподовження). Ми НЕ бачимо і не зберігаємо повні номери карток — Monobank обробляє їх напряму.
• Через iOS: ідентифікатор початкової транзакції Apple та ID продукту. Усі платежі обробляє Apple — ми НЕ бачимо дані карток.

Технічні дані та дані використання

• IP-адреса, тип бравзера/пристрою, операційна система, версія додатку.
• Агреговані події використання продукту (які функції ви відкриваєте, помилки в додатку). Обробляються в Google BigQuery — дивіться розділ «Сторонні сервіси» нижче.
• Файли cookie та локальне сховище використовуються для керування сесією та згоди на аналітику.

Дані підтримки та фідбеку

Коли ви надсилаєте фідбек у додатку, текст та опційні скріншоти чи записи екрана зберігаються у нашому приватному трекері GitHub Issues. Самі вкладення завантажуються в Backblaze B2 і видаляються, щойно звернення закрито. Ми використовуємо це лише для того, щоб відповісти і вирішити ваше звернення.

3. Як ми використовуємо ваші дані

• Щоб працював додаток: ведення щоденника, розрахунок нутрієнтів, графіки прогресу.
• Щоб розпізнавати їжу з вашого тексту, голосу чи фото через AI-асистент.
• Щоб запамʼятовувати ваші вподобання (факти памʼяті Міри) — тільки на платних тарифах, тільки за згодою.
• Щоб обробляти платежі за підписку та поновлення.
• Щоб діагностувати баги та покращувати продукт через агреговану аналітику.
• Щоб надсилати транзакційні email (верифікація, чеки оплати, скидання паролю).
• Щоб відповідати на ваші звернення в підтримку.

Ми НЕ продаємо ваші персональні дані. Ми НЕ показуємо стороннну рекламу в додатку.

4. Сторонні сервіси

Для роботи Calorize ми використовуємо наступних процесорів. Кожен отримує лише ті дані, які потрібні для його функції:

• OpenRouter (США) — основний маршрут асистентки до її моделі ШІ: передає текст ваших повідомлень у чаті, описи зі щоденника та збережені факти памʼяті до OpenAI, а надіслане повідомлення — до невеликої моделі, яка обирає емодзі-реакцію Міри.
• OpenAI (США) — модель ШІ асистентки та розпізнавання голосу: отримує текст ваших повідомлень у чаті, описи зі щоденника та збережені факти памʼяті, щоб розпізнавати їжу й готувати щоденний та щотижневий аналіз (через OpenRouter або напряму, коли цей маршрут недоступний), а також голосові записи, щоб перетворювати мовлення на текст.
• Google (Gemini) — розпізнавання фото: отримує зроблені чи вибрані вами фото та додане до них уточнення, щоб визначати їжу й читати етикетки. Доступ — напряму через API Google.
• DeepSeek (Китай) — доповнення каталогу продуктів: отримує назви та поживну цінність продуктів, щоб визначити категорію й заповнити відсутні нутрієнти. Ваших повідомлень у чаті та щоденника не отримує. Доступ — напряму через API DeepSeek.
• Soniox (США) — голосова диктовка наживо: отримує ваш голос під час диктовки й одразу повертає текст.
• Google (OAuth) — при вході через Google ми отримуємо ваш Google ID, email та імʼя.
• Apple (Вхід через Apple, App Store, IAP) — при вході через Apple або оформленні підписки в iOS, Apple обробляє автентифікацію та оплату. Ми отримуємо стабільний Apple-ідентифікатор та підтвердження покупок.
• Monobank (Universal Bank, Україна) — обробляє веб-платежі та зберігає токени карток для автоподовження. Ми передаємо ваш ID та суму; ми НЕ бачимо номери карток.
• Meilisearch (самостійно розгорнутий) — забезпечує швидкий пошук продуктів у нашому каталозі. Отримує лише ваш пошуковий запит.
• Google (аналітика BigQuery) — продуктова аналітика: зберігає агреговані, переважно знеособлені події використання (які функції відкривають, помилки в додатку), щоб ми могли помічати баги та пріоритизувати фічі.
• Google Ads — якщо перехід був з нашої реклами в Google, ми зберігаємо ідентифікатор кліку з посилання й надсилаємо його Google разом із часом реєстрації та першої покупки і її сумою, щоб виміряти рекламу. Імʼя, email і дані про здоровʼя ми не надсилаємо. У ЄЕЗ, Великій Британії та Швейцарії ми надсилаємо це лише після прийняття банера cookies, в інших країнах — якщо його не відхилено. Відхилення видаляє ідентифікатор кліку.
• Backblaze B2 (обʼєктне сховище) — зберігає скріншоти й записи екрана з фідбеку, які ви завантажуєте, — доки звернення не закрито. Кошик публічно читаємий, але URL не вгадуються; за потреби можна видалити через підтримку.
• GitHub (Issues) — наш трекер підтримки клієнтів. Текст вашого фідбеку + стабільне посилання на користувача йдуть у приватний репозиторій.
• Resend / SendGrid (доставка email) — доставляє транзакційні email. Отримує вашу email-адресу та тіло повідомлення.
• Hetzner (Німеччина, ЄС) — хостить сервери додатку Calorize та основну БД, де зберігається ваш щоденник.
• Hetzner Cloud (Німеччина, ЄС) — Langfuse — хостить наш внутрішній інстанс Langfuse, який зберігає AI-промпти, відповіді, латентність та трейси помилок — щоб ми могли налагоджувати і покращувати асистента.

5. AI-обробка — що варто знати

Calorize побудований навколо ШІ-асистентки («Міра»). Щоб працювати, вона має отримувати те, що ви надсилаєте. Користуючись чатом або фото, ви погоджуєтеся, що такі дані надсилаються нашим постачальникам ШІ (OpenAI через OpenRouter для тексту, Google для зображень, OpenAI та Soniox для голосу) для обробки:

• Текст або транскрипт голосу, який ви надсилаєте.
• Зображення, яке ви фотографуєте (розпізнається один раз; невелика копія лишається в чаті цього дня до 3 днів).
• Нещодавній контекст щоденника (наприклад, вчорашні прийоми їжі) — щоб фрази типу «як учора» працювали.
• На платному тарифі — збережені факти памʼяті, які ви явно погодились зберегти.

Ми користуємось платними тарифами API й відправляємо лише той ввід, який потрібен асистенту, щоб відповісти вам. Ми НЕ використовуємо ці дані для жодних інших цілей, окрім роботи асистента.

Якщо ви НЕ хочете, щоб ваші повідомлення оброблялись AI — не користуйтесь функціями чату / камери. Ручне ведення щоденника через стандартну форму залишається доступним.

6. Синхронізація з Apple Health і Health Connect (опційно)

Якщо ви користуєтесь застосунком Calorize для iOS або Android, можна опційно підключити Apple Health (iOS) або Health Connect (Android). Синхронізація вимкнена за замовчуванням і починається лише після того, як ви явно надасте дозволи в системному діалозі. На сайті та в PWA вона недоступна.

Коли ви вмикаєте синхронізацію, Calorize зчитує з вашого сховища здоров'я:

• Записи ваги та складу тіла (наприклад, з розумних ваг) — щоб заповнювати графік ваги без ручних зважувань.
• Денну кількість кроків, сесії тренувань (тип, тривалість, калорії) та тривалість сну — як контекст для щоденника й денного/тижневого аналізу від Міри.
• Зріст, дату народження і стать — одноразове зчитування для передзаповнення профілю під час онбордингу (дата народження і стать — лише на iOS).

І записує у ваше сховище здоров'я:

• Денні підсумки харчування (калорії, білки, жири, вуглеводи, клітковина, цукор, натрій, насичені жири), випиту воду, вагу, внесену в Calorize, та розрахований відсоток жиру.

Дані здоров'я, отримані через Apple Health або Health Connect, використовуються виключно для функцій, описаних вище: щоденник, графіки та персоналізований аналіз. Ми ніколи не використовуємо їх для реклами чи маркетингу, не продаємо, не передаємо третім сторонам і не включаємо в події продуктової аналітики.

Імпортовані дані здоров'я зберігаються в нашій базі даних у ЄС (Німеччина) разом з рештою вашого щоденника і видаляються разом з вашим акаунтом.

Ви можете зупинити синхронізацію будь-коли: вимкніть її в налаштуваннях Calorize або відкличте дозволи Calorize у застосунку Apple Health / Health Connect. Щоб стерти раніше імпортовані дані, видаліть записи в щоденнику або напишіть нам — ми їх приберемо.

7. Міжнародні передачі даних

Наша основна БД і сервери застосунку хостяться в ЄС (Німеччина), на Hetzner. Дані AI-обзервабіліті (Langfuse) також лежать у Німеччині (ЄС). Деякі процесори знаходяться у США (Google, OpenAI, OpenRouter, Soniox, Apple, Backblaze, GitHub) або в Китаї (DeepSeek), або обробляють дані глобально. При передачі ваших даних за межі ЄЕЗ ми покладаємось на Стандартні Договірні Положення процесорів або еквівалентні гарантії, де вони доступні.

8. Як довго ми зберігаємо ваші дані

• Активні акаунти: дані зберігаються, доки ви користуєтесь додатком.
• Неактивні акаунти (без входу 24 місяці): ми можемо видалити або знеособити дані після повідомлення.
• Після видалення вами акаунту: ваші персональні дані стираються миттєво з нашої робочої БД. Зашифровані бекапи, що містять їх, зачищаються протягом 7 днів. Платіжні записи можуть зберігатись 3–7 років, де цього вимагає закон (податковий / бухгалтерський облік).
• Бекапи: зашифровані бекапи БД зберігаються 7 днів, потім автоматично видаляються.
• Чат із Мірою: розмова поточного дня й невеликі копії її фото зберігаються, щоб вона не переривалась після перезавантаження чи на годиннику, і автоматично видаляються протягом 3 днів.
• Внутрішні трейси ШІ (запити, відповіді й помилки в Langfuse): зберігаються для налагодження та покращення асистентки, наразі без визначеного терміну видалення.

9. Ваші права

Незалежно від країни проживання ви можете:

• Отримати доступ до персональних даних, які ми про вас зберігаємо.
• Виправити неточні дані — більшість полів редагуються у вашому профілі.
• Видалити акаунт та всі повʼязані дані — зайдіть у Профіль → Видалити акаунт.
• Відкликати згоду або заперечити проти певних видів обробки.
• Експортувати ваші дані — напишіть нам, і ми надішлемо машино-читабельний експорт протягом 14 днів.

Якщо ви знаходитесь у ЄС/ЄЕЗ, Великій Британії чи Каліфорнії, у вас є додаткові права згідно з GDPR / UK GDPR / CCPA, включно з правом подати скаргу до місцевого органу захисту даних.

10. Cookies та локальне сховище

Calorize використовує cookies і локальне сховище для: підтримання вашого входу (сесійні cookies), запамʼятовування налаштувань UI, продуктової аналітики та вимірювання нашої реклами в Google. У застосунку ми НЕ показуємо рекламу.

11. Безпека

Весь трафік шифрується при передачі (HTTPS / TLS 1.2+). Паролі хешуються через bcrypt. Бекапи БД шифруються в стані спокою. Доступ до продакшн-систем обмежений авторизованим персоналом та захищений двофакторною автентифікацією.

Жодна система не є абсолютно безпечною. Якщо ви підозрюєте порушення, що зачіпає ваш акаунт — негайно напишіть нам.

12. Діти

Calorize не призначений для дітей до 13 років. Ми НЕ свідомо збираємо дані від дітей до 13. Якщо ви вважаєте, що дитина передала нам свої дані — звʼяжіться з нами, і ми видалимо їх.

Для розділу пептидів вимога суворіша. Калькулятор дозування та числові протоколи поруч із ним призначені для осіб від 18 років, і Calorize просить підтвердити вік, перш ніж їх показати. Підтвердження зберігається в куці браузера, а для облікового запису — ще й датою в самому записі. Нічого іншого про відвідувача в цей момент не збирається.

13. Зміни в цій політиці

Ми можемо час від часу оновлювати цю політику. Про суттєві зміни ми сповістимо в додатку та/або по email щонайменше за 14 днів до вступу в силу. Дата «Останнє оновлення» вгорі сторінки показує останню редакцію.

14. Контакт

Питання щодо цієї політики або ваших даних? Напишіть нам на [email protected].