Polityka prywatności

Kto odpowiada

Sabzy tworzy i prowadzi Boburmirzo Khudoyberdiev, niezależny deweloper z Uzbekistanu. We wszystkich sprawach dotyczących tej polityki, w tym w sprawie żądań dotyczących twoich danych, pisz na mirzo.7767@gmail.com.

Co przechowuje aplikacja

Wszystko, co wprowadzasz, zapisuje się w bazie danych na twoim urządzeniu:

• Twój profil — wzrost, aktualna waga, waga docelowa, data urodzenia lub wiek, płeć, poziom aktywności i wybrany cel. To z nich wyliczany jest dzienny cel kaloryczny.
• Twój dziennik — posiłki i ich składniki, kalorie i makroskładniki, godzina każdego wpisu oraz każde dołączone zdjęcie.
• Woda i ważenia — szklanki, które odhaczasz, i wagi, które zapisujesz z czasem.
• Ustawienia aplikacji — jednostki, język, przypomnienia i liczba wykorzystanych analiz AI.

Jeśli na urządzeniu jesteś zalogowany do iCloud, ta baza jest odzwierciedlana w prywatnej bazie iCloud twojego własnego konta Apple. To miejsce należy do ciebie: obejmuje je polityka prywatności Apple, zajmuje ono twoje miejsce w iCloud, a deweloper Sabzy nie ma żadnej możliwości go odczytać. Wylogowanie się z iCloud albo wyłączenie iCloud dla Sabzy w Ustawieniach zatrzymuje odzwierciedlanie.

Logowanie

Sabzy działa całkowicie bez konta i właśnie tak się zaczyna: wszystko powyższe zostaje na twoim telefonie i w twoim własnym iCloud, a do nas nie dociera nic. Logowanie wybierasz sam w Profilu i służy do dwóch rzeczy: czytania tego samego dziennika na drugim urządzeniu i dołączenia do grupy.

Logowanie odbywa się przez Apple albo Google. W aplikacji nigdzie nie ma hasła, więc nie ma też żadnego, które moglibyśmy przechowywać lub zgubić. Firebase Authentication trzyma dla nas identyfikator konta i adres e-mail przekazany przez dostawcę — przy logowaniu z Apple może to być adres przekierowujący, który w każdej chwili wyłączysz, a aplikacja działa tak samo w obu przypadkach.

Po zalogowaniu twój profil, posiłki, ważenia i woda są kopiowane do Cloud Firestore, a miniatury posiłków i zdjęcie profilowe do Cloud Storage — do folderu, który reguły bezpieczeństwa otwierają twojemu kontu i żadnemu innemu. Dokument profilu niesie jeszcze cztery rzeczy, które nie należą do twojego dziennika: czy subskrypcja jest aktywna, na jaki produkt i do kiedy; tokeny powiadomień urządzeń, na których jesteś zalogowany; wskaźnik do grupy, w której jesteś; oraz pieczątkę tego, która platforma i która wersja aplikacji pisała ostatnia. Baza danych stoi w Unii Europejskiej, w Belgii i Holandii, a funkcje prowadzące grupy — we Frankfurcie.

Wylogowanie zatrzymuje kopiowanie i zostawia kopię na miejscu. Profil › Konto › Usuń konto ją usuwa: każdy posiłek, ważenie, wpis o wodzie i opublikowany dzień, potem dokument profilu, folder ze zdjęciami i samo konto. Przy Apple aplikacja unieważnia dodatkowo token wydany przez Apple — to właśnie sprawia, że usunięcie jest całe, a nie zrobione w połowie.

Grupy

Grupa to wspólna subskrypcja: płaci jedna osoba, a Premium mają wszyscy, których zaprosi, dopóki plan działa. Osoba płacąca nie jest nim objęta — plan na pięć osób to pięć osób oprócz niej — i wykupuje Sabzy Pro jak każdy inny, jeśli chce. Żeby dołączyć, potrzebny jest kod zaproszenia od osoby prowadzącej grupę; bez niego nikt cię nie doda. Jednocześnie należy się do jednej grupy, a wyjście to jeden przycisk.

Co pozostali w grupie widzą o tobie:

• Imię i zdjęcie ustawione przez ciebie w Profilu — osoba bez ustawionego imienia pokazywana jest jako „Member”.
• Twoją serię, najlepszą serię, twój cel i to, jak zmieniła się twoja waga przez ostatnie trzydzieści dni — jedną liczbą.
• Dla każdego dnia: kalorie, białko, węglowodany, tłuszcz i błonnik, twoje cele na ten dzień, wodę, liczbę kroków z Apple Health, ile posiłków zapisałeś i czy dzień zmieścił się w twoim przedziale kalorii.
• Same posiłki — nazwy dań, godziny i zdjęcia.

Nie ma przełącznika, który zawęża tę listę, i nigdy go nie było. To, co widzi ktoś z twojego grupy, to dokładnie to, co pokazuje ci ekran dołączania, zanim wpiszesz kod: twoje kalorie i makroskładniki, twoje posiłki wraz ze zdjęciami, w którą stronę idzie twoja waga, twoja seria i twoja aktywność — i tak zostaje, dopóki jesteś w grupie. Zatrzymuje to wyjście.

Sabzy pisze dla grupy trzy krótkie akapity: jeden o tygodniu, jeden o dniu do tej pory i jeden o pojedynczej osobie, na jej własnej stronie. Padają w nich imiona ludzi i nazwy dań, i to celowo — „ktoś przekroczył przez dwa dni” nikomu nie pomaga, a „Aziz zjadł we wtorek na śniadanie spory kawałek ciasta” to coś, z czym trener może coś zrobić. Imiona pojawiają się dokładnie tak, jak są ustawione w Profilu, a posiłki dokładnie tak, jak zostały zapisane. Czytają je tylko osoby z twojego grupy, a te same posiłki i zdjęcia są dla nich i tak otwarte, więc akapit nie pokazuje im niczego, czego nie mogłyby otworzyć same.

Dołączenie do grupy publikuje twoje ostatnie trzydzieści dni naraz, żeby grupa nie patrzył na pusty ekran. Wyjście zatrzymuje dalsze publikowanie, a usunięcie konta kasuje opublikowane dni razem z całą resztą. Nikt spoza twojej grupy nie może tego przeczytać: reguły bazy nikogo innego nie wpuszczają.

Powiadomienia grupy — ktoś dołączył, czyjaś seria doszła do okrągłej liczby, subskrypcja zaraz się skończy — docierają przez Firebase Cloud Messaging: aplikacja rejestruje w tym celu token powiadomień przypisany do twojego konta i zapamiętuje, w jakim języku ma do ciebie pisać. Powiadomienia grupy wyłącza się w Profilu, a wylogowanie usuwa token.

Co opuszcza twoje urządzenie

Google

Zdjęcia, dźwięk i opisy posiłków trafiają do modeli Gemini firmy Google przez Firebase AI Logic i tam są przetwarzane, żeby powstał wynik, który widzisz. Sabzy nie trzyma kopii zdjęcia, dźwięku ani tekstu na żadnym kontrolowanym przez siebie serwerze, a takie żądanie nie niesie ani imienia, ani adresu e-mail, ani identyfikatora konta — tylko obraz, dźwięk lub tekst i polecenie ich przeanalizowania. To, jak Google obchodzi się z tymi danymi, reguluje polityka prywatności Google.

Akapity grupy trafiają do tych samych modeli i są wyjątkiem od powyższego. Żeby napisać taki akapit, aplikacja wysyła do Google nazwę profilową każdej osoby, którą wymieni, i nazwy posiłków, które się wyróżniły, razem z liczbami, które urządzenie już policzyło. Nie wysyła adresu e-mail, identyfikatora konta ani zdjęcia. Akapit wraca do twoich osób z grupy, którzy te same posiłki i tak mogą otworzyć sami — ale napisanie go to żądanie wysłane do Google i to właśnie ono niesie.

Raporty o użyciu i o awariach

Sabzy korzysta z dwóch usług Google Firebase: Analytics, które liczy, co dzieje się w aplikacji, i Crashlytics, które zapisuje ślad stosu, gdy aplikacja przestaje działać. To one mówią nam, że jakiś ekran jest mylący albo że kompilacja wysypuje się na jednej wersji iOS, i nikt nie musi w tej sprawie pisać.

Są domyślnie włączone i w aplikacji nie ma ustawienia, które by je wyłączyło. W wersji 1.4 było, wersja 1.6 je usunęła. Usunięcie aplikacji je zatrzymuje. Wolimy powiedzieć to wprost, niż opisywać przełącznik, którego nie ma.

Co jest wysyłane:

• Zdarzenia z zamkniętej listy, którą definiuje sama aplikacja — że onboarding się skończył, że zdjęcie zostało przeanalizowane, że posiłek został zapisany, że pokazał się ekran subskrypcji, że zakup się powiódł albo nie powiódł, i który z wymienionych z nazwy elementów sterujących został naciśnięty. Nie ma w nich nigdzie wolnego tekstu: każda wartość to albo liczba, którą wyliczyła aplikacja, albo jedno z niewielu słów wybranych z góry.
• Nazwa ekranu, na którym jesteś, z zamkniętej listy około dwudziestu.
• Kilka faktów o instalacji, a nie o chwili: czy subskrypcja jest aktywna i na jaki okres, jak daleko zaszedłeś w korzystaniu z aplikacji, czy przypomnienia są włączone, czy funkcje AI są dozwolone, czy aparat jest dozwolony, oraz język aplikacji.
• Wartości, po których dałoby się namierzyć osobę albo moment, podawane są celowo w przedziałach, a nie dokładnie. Wiek przychodzi jako „35–44”, a czas do zapisania pierwszego posiłku jako „poniżej 5 minut” albo „tego samego dnia”.
• To, co SDK Firebase dokłada samo: identyfikator tej instalacji, model urządzenia, wersja iOS, język i przybliżona lokalizacja — najwyżej z dokładnością do miasta — wyliczona z adresu IP połączenia.
• Z Crashlytics, gdy aplikacja przestaje działać: ślad stosu, model urządzenia i wersja iOS oraz to, jak długo aplikacja była uruchomiona.

Czego nie wysyłamy: niczego, co fotografujesz, mówisz, wpisujesz, ważysz albo jesz. Żadnego wzrostu, żadnej wagi, żadnego celu kalorycznego, żadnego wybranego celu, żadnej nazwy posiłku. Fakty przypięte do identyfikatora instalacji celowo pomijają każdą cechę zdrowotną, bo identyfikator, który żyje dłużej niż sesja, to niewłaściwe miejsce dla takiej informacji.

Nie ma identyfikatora reklamowego. Aplikacja nie podłącza frameworku Apple AdSupport i nigdy nie prosi o zgodę na śledzenie, bo nie chodzi za tobą po aplikacjach ani stronach innych firm. Dokładnie to deklaruje jej manifest prywatności dla App Store.

Firebase prowadzi Google, które przetwarza te raporty na nasze zlecenie, na infrastrukturze mogącej znajdować się poza twoim krajem, na własnych warunkach i zgodnie z własną polityką prywatności. Nigdzie indziej te raporty nie trafiają i nic z nich nie jest sprzedawane. Zdarzenia analityczne Google kasuje automatycznie po upływie okresu przechowywania ustawionego w projekcie; raporty o awariach są trzymane tak długo, jak długo naprawianie danej awarii ma sens.

Firebase dopina do tych raportów swój identyfikator instalacji, a my nie mamy sposobu, żeby powiązać ten identyfikator z tobą — na tym polega sens i na tym polega ograniczenie: nie znajdziemy twoich wierszy, żeby usunąć je na żądanie. Usunięcie aplikacji zatrzymuje powstawanie nowych, a sam identyfikator tego nie przeżywa.

Wspólny katalog produktów

Kiedy skanujesz kod kreskowy, który Sabzy musi dopiero odnaleźć, dane produktu — kod kreskowy, nazwa, marka, kalorie i makroskładniki na 100 g oraz wielkość porcji — trafiają do katalogu w publicznej bazie iCloud, żeby inni ludzie skanujący ten sam produkt dostali odpowiedź natychmiast. Ten wpis dotyczy produktu, a nie ciebie: nie niesie identyfikatora urządzenia ani osoby, która skanowała, i nie da się go powiązać z twoim dziennikiem.

Płatności

Subskrypcje sprzedaje Apple przez App Store. Apple obsługuje płatność; numerów kart, adresów rozliczeniowych ani danych twojego konta Apple nie widzi ani Sabzy, ani jego deweloper. To, co dostaje aplikacja, to podpisane przez Apple potwierdzenie zakupu. Przy planie grupowym aplikacja przekazuje to potwierdzenie własnej Cloud Function we Frankfurcie, która sprawdza podpis Apple i odczytuje plan z podpisanej treści, a nie z tego, co twierdzi aplikacja. Apple pisze też do tej samej funkcji bezpośrednio, przez App Store Server Notifications, żeby odnowienie albo rezygnacja dotarły do grupy, którego właściciel od miesiąca nie otworzył aplikacji.

Jak te podmioty trzecie są związane tą polityką

Każdy wymieniony wyżej podmiot jest zobowiązany, na warunkach, na jakich został zaangażowany, chronić otrzymane dane wedle tego samego standardu, który wykłada ta polityka, i żadnemu z nich nie wolno wykorzystywać ich do własnych celów, budować profilu ani przekazywać ich dalej. Nie wysyłamy im niczego ponad to, co opisuje tabela.

Aplikacja podłącza dziesięć zewnętrznych pakietów programistycznych i wszystkie dziesięć należą do Google. Dziewięć pochodzi z Firebase: Analytics i Crashlytics, opisane wyżej; App Check; AI Logic, które niesie zdjęcie, notatkę głosową lub opis do Gemini; Authentication, Cloud Firestore, Cloud Storage i Cloud Functions, które razem są kontem, synchronizacją i grupami; oraz Cloud Messaging, które dostarcza powiadomienia grupy. Dziesiąty to Google Sign-In, jeden z dwóch sposobów logowania. Nie ma żadnego pakietu reklamowego ani śledzącego, nie ma też spółki matki, spółki zależnej ani powiązanej, która miałaby dostęp do twoich danych — Sabzy to jeden niezależny deweloper, więc nie ma nikogo innego, do kogo dane mogłyby trafić.

App Check zasługuje na osobny akapit, bo działa na twoim urządzeniu przy każdym wywołaniu usługi Google, a nic innego tutaj go nie opisuje. Przed każdym wywołaniem prosi Apple o poświadczenie, że żądanie pochodzi z prawdziwej kopii Sabzy na prawdziwym urządzeniu Apple — przez App Attest tam, gdzie sprzęt na to pozwala, i przez DeviceCheck tam, gdzie App Attest nie istnieje — i dołącza do wywołania krótko żyjący token wystawiony przez Apple. Token mówi coś o aplikacji i o urządzeniu, a o tobie nic. To on pozwala wydać Sabzy bez własnego klucza API, który ktoś mógłby stamtąd wyjąć.

Jedna nazwa w tabeli powyżej nie należy do Google. Kod kreskowy, który skanujesz, trafia do Open Food Facts, otwartej bazy produktów spożywczych prowadzonej przez francuskie stowarzyszenie non-profit. Dostaje numer kodu i nic więcej — żadnego konta, żadnego identyfikatora urządzenia, żadnego kawałka twojego dziennika — i odpowiada produktem. To, co wraca, jest opublikowane na licencji Open Database, a to, co Open Food Facts robi z zapytaniem, regulują jego własny regulamin i polityka prywatności.

Aplikacja Zdrowie

Integracja ze Zdrowiem jest opcjonalna i wyłączona, dopóki jej nie włączysz. Kiedy jest włączona:

• Sabzy odczytuje to, co twój dzień już zawiera: spaloną energię aktywną, liczbę kroków, dystans marszu i biegu oraz treningi zapisane przez dowolną aplikację na twoim telefonie lub zegarku. Ekran Aktywność je pokazuje, a kalorie pozostałe na dany dzień uwzględniają to, jak aktywny byłeś.
• Sabzy zapisuje energię, białko, węglowodany, tłuszcz i błonnik, które wprowadzasz, oraz każde odnotowane ważenie, żeby twoje pozostałe aplikacje były zsynchronizowane.

Z jednym wyjątkiem dane zdrowotne wymieniane są wyłącznie między aplikacją a Apple Health na twoim urządzeniu. Wszystko inne, co aplikacja odczytuje, nigdy nie trafia do Google, nigdy nie jest zapisywane we wspólnym katalogu i nigdy nie jest przechowywane w iCloud — te wartości są odczytywane wtedy, gdy potrzebuje ich ekran, i nigdzie nie są zapisywane. Nigdy nie są używane do reklamy.

Tym wyjątkiem jest liczba kroków. Jeśli jesteś w grupie, kroki z danego dnia są publikowane razem z resztą dziennych podsumowań, a pozostali w grupie widzą je tak samo jak twoje kalorie i wodę. Ta jedna liczba to jedyna rzecz ze Zdrowia, która opuszcza twoje urządzenie — nic innego z powyższej listy nie wędruje razem z nią, a przebieg wagi, który widzi grupa, liczony jest z ważeń zapisanych w Sabzy, nie ze Zdrowia. Jeśli nie jesteś w grupie, nic ze Zdrowia nie opuszcza twojego urządzenia.

Uprawnienia, o które prosi aplikacja

• Aparat — żeby sfotografować posiłek albo zeskanować kod kreskowy.
• Biblioteka zdjęć — wyłącznie po to, żebyś mógł wybrać istniejące zdjęcie posiłku. Aplikacja odczytuje wybrany obraz i nic poza nim.
• Mikrofon — żeby nagrać mówiony opis posiłku.
• Powiadomienia — przypomnienia, które ustawiasz sam, na przykład cotygodniowe ważenie, oraz powiadomienia samej grupy, jeśli w jakiejś jesteś. To dwa osobne przełączniki w Profilu.
• Zdrowie — jak opisano wyżej.
• Funkcje AI — twoja zgoda na to, żeby zdjęcie, notatka głosowa albo wpisany opis mogły trafić do Google. Ten sam przełącznik rządzi pisanymi notatkami, w tym tymi, które dostaje grupa. Zanim jej udzielisz, nic nie jest wysyłane.

Każdego z nich można odmówić. Pierwsze pięć można wycofać w aplikacji Ustawienia; funkcje AI wyłącza się w samym Sabzy, w Profil › Ustawienia. Odmowa wyłącza tę funkcję, która danego uprawnienia potrzebuje, i nic poza nią.

Czego Sabzy nie robi

• Żadnych pakietów reklamowych i żadnych pakietów śledzących. Aplikacja podłącza dziesięć zewnętrznych pakietów, wszystkie od Google; są wymienione wyżej i żaden nie jest po to, żeby cię śledzić.
• Żadnych reklam i żadnych identyfikatorów reklamowych.
• Żadnego śledzenia w innych aplikacjach ani na stronach internetowych.
• Żadnych profili budowanych o tobie i żadnych automatycznych decyzji o skutkach prawnych lub podobnych.
• Żadnej sprzedaży ani udostępniania danych osobowych, pod żadną definicją i w żadnym celu.

Jak długo dane są przechowywane

Twój dziennik zostaje na urządzeniu, dopóki go nie usuniesz. Usunięcie aplikacji kasuje bazę na urządzeniu. Jeśli kopiowanie do iCloud było włączone, kopię w twoim iCloud usuwa się przez Ustawienia › twoje imię › iCloud › Zarządzaj miejscem › Sabzy.

Jeśli byłeś zalogowany, kopia w Cloud Firestore i Cloud Storage jest przechowywana tak długo, jak istnieje konto. Dłużej nie: Profil › Konto › Usuń konto kasuje ją, zanim zniknie samo konto, a kopii zapasowej, z której mogłaby wrócić, nie prowadzimy. Dzienne podsumowania opublikowane dla grupy odchodzą razem z nią, a wyjście z grupy zatrzymuje zapisywanie nowych.

Zdarzenia użycia i raporty o awariach trzymane przez Firebase Google kasuje po upływie okresu przechowywania ustawionego dla projektu, a usunięcie aplikacji sprawia, że nie pojawiają się nowe. Wpisy we wspólnym katalogu produktów to wartości odżywcze produktów handlowych i są przechowywane bezterminowo; ponieważ nie ma w nich nic o tobie, usunięcie twoich danych ich nie dotyczy.

Dzieci

Sabzy nie jest kierowane do dzieci poniżej 13. roku życia i świadomie niczego od nich nie zbiera. Jeśli sądzisz, że dziecko przekazało przez aplikację dane osobowe, napisz na podany wyżej adres, a zostaną one usunięte.

Twoje prawa

Ponieważ aplikacja trzyma twój dziennik na twoim własnym urządzeniu, większość praw wykonujesz bezpośrednio: widzisz wszystko w aplikacji, zmieniasz lub kasujesz dowolny wpis i usuwasz całość, kasując aplikację i jej dane w iCloud. Jeśli byłeś zalogowany, Profil › Konto › Usuń konto robi to samo z kopią po naszej stronie — w jednym kroku i bez pisania do kogokolwiek.

Dla czytelników w Europejskim Obszarze Gospodarczym i w Wielkiej Brytanii podstawy prawne z artykułu 6 RODO są następujące. Wszystko, co aplikacja robi, żeby dać ci to, o co poprosiłeś — przechowuje dziennik, rozpoznaje zdjęcie, synchronizuje założone przez ciebie konto, prowadzi grupę, do którego dołączyłeś — odbywa się na podstawie artykułu 6 ust. 1 lit. b, wykonania umowy z tobą. Raporty o użyciu i awariach przetwarzamy na podstawie artykułu 6 ust. 1 lit. f, naszego prawnie uzasadnionego interesu w tym, by wiedzieć, że aplikacja działa — dlatego nie ma w nich nic o twoim zdrowiu i dlatego w Profilu jest przełącznik. Dane o zdrowiu to szczególna kategoria z artykułu 9 i są przetwarzane wyłącznie za twoją wyraźną zgodą, udzielaną w oknie uprawnień Zdrowia i tam też cofaną.

Jeśli jesteś w Europejskim Obszarze Gospodarczym lub w Wielkiej Brytanii, RODO daje ci prawo dostępu do danych osobowych, ich sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu wobec przetwarzania, a także prawo do przenoszenia danych. Jeśli jesteś w Kalifornii, CCPA daje ci prawo do informacji, usunięcia, sprostowania oraz rezygnacji ze sprzedaży lub udostępniania — z zastrzeżeniem, że Sabzy nie sprzedaje ani nie udostępnia danych osobowych. Żeby skorzystać z któregokolwiek z nich albo złożyć skargę, pisz na mirzo.7767@gmail.com.

Zmiany w tej polityce

Jeśli ta polityka się zmieni, zmieni się z nią data u góry, a istotna zmiana zostaje opublikowana tutaj, zanim wejdzie w życie. Aplikacja nie ma jak wysłać ci wiadomości, więc zmiana pojawia się na tej stronie. Obowiązująca wersja zawsze znajduje się pod tym adresem.