TempoLife — Privaatsuspoliitika

Vastutav töötleja

Teie isikuandmete vastutav töötleja on:

• Arendaja: TempoLife meeskond / Probyte OÜ
• Rakendus: TempoLife (org.tyrnpuu.medix)
• E-post: info@tempolife.app
• Veebileht: tempolife.app

Käesolev privaatsuspoliitika kirjeldab, kuidas TempoLife rakendus kogub, kasutab, salvestab ja kaitseb teie isikuandmeid vastavalt Euroopa Liidu isikuandmete kaitse üldmäärusele (GDPR, Määrus 2016/679) ja Eesti isikuandmete kaitse seadusele (IKS).

Milliseid andmeid me kogume

2.1 Konto- ja isikuandmed

• Nimi ja e-posti aadress (registreerumisel või Google sisselogimise kaudu)
• Profiilipilt (kasutaja valikul)
• Sünniaeg, sugu, pikkus, kaal — ainult teie vabatahtliku sisestuse korral

2.2 Terviseandmed (GDPR art. 9 — eri kategooria)

• Toidupäevikud (kalorid, toitained, fotod)
• Sammud, kehaline aktiivsus, treeningud
• Une kestus ja staadiumid, ärkveloleku aeg
• Meeleolu, stressitase ja heaolumärkmed
• Kehakaal ja paastuperioodid
• Südamerütm (Health Connectist)

2.3 Tehnilised andmed

• Seadme tüüp, operatsioonisüsteem, rakenduse versioon (User-Agent header)
• IP-aadress (serverilogides, säilitatakse max 90 päeva)
• Sessiooni identifikaator (PHP sessioon, CSRF-token)

2.4 Mida me EI kogu

• Asukohaajalugu ega taustal asukohta — valikuline restoraniotsing kasutab teie asukohta ainult otsingu ajal ega salvesta seda (vt ptk 2g)
• Seadme identifikaatoreid (IMEI, Advertising ID, MAC)
• Kontaktide nimekirja, kõnelogisid ega SMS-e
• Muude rakenduste andmeid — ühe erandiga: kui ühendate Android Health Connecti, loeme neid terviseandmete tüüpe, milleks olete sõnaselgelt loa andnud (vt ptk 2a)
• Teie fotogaleriid — kaamerat ja piltide ligipääsu kasutatakse ainult selle toidupildi jaoks, mille te ise teete või valite (vt ptk 2b)

Android Health Connect

Androidis saab TempoLife lugeda tervise- ja liikumisandmeid Health Connectist — Androidi sisseehitatud andmehoidlast. See on täiesti vabatahtlik. Midagi ei loeta enne, kui olete rakenduses Health Connecti ühendanud ja andnud Androidi enda loaekraanil loa iga andmetüübi kohta eraldi.

Mida me loeme

• Sammud — päevane sammude arv
• Uni — unesessioonid ja unefaasid (sügav, kerge, REM, ärkvel)
• Südame löögisagedus — pulsi mõõtmised
• Puhkepulss — seadme arvutatud puhkepulsi mõõtmised
• Südame löögisageduse muutlikkus (HRV, RMSSD) — taastumise trendiks kasutatav millisekundiväärtus
• Treeningseansid — treeningu liik, algus, lõpp, kestus ning olemasolul distants ja energiakulu
• Kehakaal — kaalumõõtmised

Küsime ainult lugemisõigust. TempoLife ei kirjuta Health Connecti midagi tagasi.

Miks rakendus seda vajab

Need andmetüübid on rakenduse põhivaadete alus: töölaua sammude ja aktiivsuse kokkuvõtted, une kestus ja unefaaside ülevaade, kaalutrend ning eraldi Südame vaate hetkepulss, isiklik 28 päeva puhkepulsi baastase, tegevuse/une/paastu/meditatsiooni/tuju kontekst, treeningtsoonid ja pulsitaastumine ning puhkepulsi, HRV, une ja treeningkoormuse mittemeditsiiniline taastumise ülevaade. Ilma Health Connectita ei saa neid andmeid automaatselt täita.

Kust andmed pärinevad

Health Connect on teie enda seadmes olev hoidla, kuhu kirjutavad teised rakendused ja seadmed — näiteks Samsung Health või Garmin. TempoLife loeb seda, mis on Health Connectis juba olemas. Me ei ühendu nende teenustega otse ega näe midagi peale nende andmetüüpide, milleks olete loa andnud. Health Connect ise töötab teie seadmes; selle ühendamine ei saada teie andmeid Google’ile.

Kui palju ajalugu

Kui annate eraldi ajaloo loa, võib TempoLife esmakordsel ühendamisel lugeda kuni viimase 12 kuu sammude, une ja kehakaalu andmeid. Südame moodul loeb baastaseme jaoks kuni 35 päeva puhkepulsi ja HRV andmeid ning kuni 30 päeva treeningseansse. Ilma ajaloo loata piirab Health Connect ajaloolised lugemised ligikaudu 30 päevaga. Suure andmemahu tõttu on üldine pulsi import piiratud kõige värskema 7 päevaga; hiljutiste treeningute akendest säilitatakse tihedamad näidud, et arvutada tsoone ning 1 ja 2 minuti pulsitaastumist. Edaspidi loetakse ainult uusi ja muutunud kirjeid koos lühikese kattuvusega.

Kus neid hoitakse

Health Connectist loetud andmed edastatakse üle HTTPS/TLS-i ja salvestatakse teie enda TempoLife’i kontole meie serveritesse Eestis (EL), täpselt samamoodi nagu käsitsi sisestatud andmed. Neid näete ainult teie.

Mida me nendega kunagi ei tee

• Health Connecti andmeid ei kasutata kunagi reklaamiks ega turunduseks, personaliseeritud ega huvipõhiseks reklaamiks, samuti mitte reklaamisihtrühmade loomiseks.
• Neid ei jagata kunagi reklaamivõrkude, reklaamiplatvormide, andmemaaklerite ega andmete edasimüüjatega.
• Neid ei müüda kunagi kellelegi ega ühelgi eesmärgil.
• Neid ei lisata ühtegi rakendusest saadetavasse analüütika- ega reklaamisündmusesse.
• Neid ei anta ühelegi kolmandale osapoolele tema enda eesmärkidel kasutamiseks.

Loa tagasivõtmine

• Rakenduses: katkestage Health Connecti ühendus rakenduse seadetes. Seejärel lõpetab TempoLife uute andmete lugemise.
• Seadmes: Androidi Seaded → Health Connect → Rakenduse õigused → TempoLife, kus saate eemaldada üksikuid andmetüüpe või kogu ligipääsu korraga. Health Connect peab ka ise logi selle kohta, millised rakendused on teie andmeid lugenud.

Loa tagasivõtmine peatab kõik edasised lugemised. Juba sünkroonitud andmed jäävad teie TempoLife’i kontole, et ajalugu märkamatult ei kaoks — saate need igal ajal alla laadida (ptk 8) ja need kustutatakse jäädavalt konto kustutamisel (ptk 8a).

Kaamera ja toidupildid

TempoLife küsib kaamera õigust ühel ainsal eesmärgil: pildistada toidukorda, et see automaatselt ära tuntaks ja seda ei peaks käsitsi sisestama. Pildistamise asemel võite valida ka olemasoleva pildi. Luba küsitakse alles siis, kui te seda funktsiooni esimest korda kasutate, ning rakendus ei pildista kunagi taustal.

Pilt lahkub seadmest

Toidu tuvastamine ei toimu teie telefonis. Kui te selle kinnitate, saadetakse pilt üle HTTPS-i kolmanda osapoole AI-pilditundmisteenusele — peamise teenusena Google’ile (Gemini) ja varuteenusena Anthropicule (Claude AI) — mis tagastab tuvastatud toidud ja nende hinnangulised toitumisväärtused. See on teie andmete edastamine kolmandale osapoolele väljapoole rakendust ja see toimub ainult pärast seda, kui olete rakenduse dialoogis sõnaselgelt nõustunud. Kui te ei nõustu, ei saadeta ühtegi pilti ja saate toitu siiski käsitsi logida.

Mis pildist saab

• Pildilt eemaldatakse EXIF- ja GPS-metaandmed enne saatmist.
• Pilt saadetakse ainult päringu hetkel ja kustutatakse pärast seda teenusepakkuja serveritest vastavalt meie lepingutele (vt ptk 4).
• Tavalise AI-tuvastuse korral salvestatakse teie toidupäevikusse ainult tuvastatud toidukirje ja selle toitumisväärtused. Erand on eraldi nõusolekuga avalik arhiiv (ptk 2e).
• Toidupilte ei kasutata kunagi reklaamiks ega müüda neid kunagi.

Anonüümse eelvaate nõusoleku- ja väärkasutuskaitse

Kontota eelvaates hoiame kuni 2 päeva ainult päevapõhist salajase võtmega pseudonüümset võrgusubjekti, nõusoleku versiooni ja sündmuse aega. See kirje ei sisalda fotot, AI tulemust, toidukirjet, reklaamiidentifikaatorit ega kontot ning seda ei seota turundusanalüütikaga. Nõusoleku tõendi alus on teie iga kasutuskorra nõusolek ja selle tõendamine (GDPR art. 6(1)(a) ja art. 7); lühiajalise päringupiirangu alus on meie õigustatud huvi teenuse väärkasutuse ja ebaproportsionaalse AI kulu vältimiseks (art. 6(1)(f)).

Kuna eelvaade on kontota, ei saa seda kirjet kontoekspordiga siduda ega sealt üksikisikut usaldusväärselt tuvastada. See kustutatakse automaatselt hiljemalt 2 päeva pärast. Oma õiguste või vastuväite kohta võtke ühendust jaotises 12 toodud aadressil; me selgitame praktilisi piiranguid ja täidame kontrollitava taotluse võimalikus ulatuses.

Kaamera õiguse saate igal ajal tagasi võtta Androidi Seaded → Rakendused → TempoLife → Õigused. Ülejäänud rakendus töötab tavapäraselt edasi.

Kogukond ja Tempo voog

Kogukond on vabatahtlik. Kui sa seda ei kasuta, ei jagata sinu andmeid teiste kasutajatega.

Mida teised näevad

• Profiil: sinu kuvatav nimi, valitud emoji, tase ja punktid.
• Edetabel: nimi, tase ja punktisumma. Saad end edetabelist peita (Kogukond → Privaatsus).
• Väljakutsed: osalemine ja edenemine nendes väljakutsetes, millega liitud.
• Sõnumid: sisu, mille sa ise saadad. Sõnumeid saab vahetada ainult sõpradega.
• Voog: postitused, lood, fotod, küsitlused, kommentaarid, reaktsioonid ja jälgimissuhted, mille ise lood. Iga postituse või loo puhul valid nähtavuse.

Midagi sinu terviselogidest ei jagata automaatselt. Kui lülitad voo sätetes eraldi tegevuskategooria sisse, võivad jälgijad näha piiratud kokkuvõtet, näiteks sammude arvu, logitud toidukordade arvu, une või paastu kestust, saavutust või seda, et tegid kaalumise. Täpset kaalu, päevikuridu, märkmeid, marsruute, meeleolu, pulssi ega muid Health Connecti andmeid ei näidata.

Teated ja blokeerimine

Igal kasutajaprofiilil on Blokeeri ja Teata. Blokeerimine peatab mõlemasuunalise suhtluse. Teate korral salvestame teataja, teatatud sisu viite ja põhjuse, et saaksime selle üle vaadata ja vajadusel sisu eemaldada või konto peatada.

Säilitamine

Sõnumid, voo postitused ja muu kogukonnasisu säilivad kuni kustutad sisu või konto. Lood aeguvad 24 tunniga; lisamata voo fotod eemaldatakse tavaliselt kahe tunni jooksul. Konto kustutamisel eemaldatakse sinu profiil, sõnumid, meedia ja kogukonnakirjed vastavalt jaotisele „Andmete kustutamine“.

Päevaplaani väljakutse (€100 kampaania)

Punktide väljakutse on vabatahtlik. Kui sa sellega ei liitu, ei töödelda sinu andmeid kampaania jaoks üldse.

Milliseid andmeid kampaania kasutab

• Skooriandmed: liitumisel fikseeritud söögiajad, söögiplaani täitmine ning kontrollitud tegevuse liik ja ajatempel. Toidu kcal, kaal, sammude arv ja une kestus skoori ei suurenda.
• Edetabeli andmed: kuvatav nimi, punktisumma, söögiplaani punktid, kontrollitud tegevuste arv ja aktiivsed päevad. Enda peitmine edetabelist (Kogukond → Privaatsus) kehtib ka kampaanias.
• Võitja puhul: kontaktandmed (e-post) auhinna väljamaksmiseks.

Kampaania ei kogu uusi andmeid — see kasutab ainult andmeid, mida sa Rakenduses niikuinii logid — ega jaga neid kolmandate osapoolte ega reklaamivõrkudega.

Õiguslik alus ja säilitamine

Kampaaniaandmeid töödeldakse sinu nõusoleku (liitumine) ja kampaaniareeglite täitmise (leping) alusel. Kampaaniakirjed säilivad kuni konto kustutamiseni; auhinna väljamaksega seotud andmeid säilitatakse raamatupidamisnõuete täitmiseks seaduses ettenähtud tähtaja jooksul. Au-vitriinis (hall of fame) säilitatakse ainult kuvatav nimi ja kokkuvõtlik tulemus.

Vabatahtlik avalik jagamine, koondandmed ja avalikud tööriistad

Avalik toidukaart, galerii, päeva foto ja loosimine

Tavalisi AI-toidupilte TempoLife serveris ei säilitata. Ainult eraldi avaliku veebiarhiivi nõusolekul loob server metaandmeteta JPEG-koopia ja avaliku jagamiskaardi. Avalikud väljad võivad sisaldada fotot, toidu nime, teie pealkirja, kaardi sisu ja jagamistunnust; anonüümseid vaatamis- ja pakkumisloendureid ei avaldata kaasatuse mõõdikutena. Koopia võib ilmuda galeriis, otsingumootoritele mõeldud struktureeritud andmetes ja päeva foto rotatsioonis. Kaart aegub hiljemalt 90 päevaga; automaatne koristus eemaldab aegunud ja orvuks jäänud failid, kuid töökatkestus võib füüsilise kustutamise lükata järgmise eduka koristuseni. Päeva foto koondfail kehtib kuni 36 tundi.

Sama ISO-nädala loosimisel osalemine ja võitja nime näitamine on lisavalikud, mis seotakse selle vooru reeglite täpse versiooni, oluliste tingimuste räsi ja loosimiskohustusega. Osaleda saab alles pärast ühekordse loosimissaladuse räsi avaldamist enne vooru avamist. Vanuse-, riigi- ja töötajapiirangu jõustamiseks loetakse konto sünnikuupäeva, riiki ja rolli; neid profiilivälju loosimiskoondis ei avaldata. Pärast sulgemist avalikustab audit saladuse, nädala ja avaliku kaardi tokenist tuletatud pseudonüümsed osalemisvõtmed, loendi räsi ning võitnud võtme; konto ID-sid ega lähte-tokeneid ei avaldata. Nõusolek ei kandu teise nädalasse ega muudetud tingimustele. Ühe või kõik kirjed saab eemaldada avaliku arhiivi seadetes. Tagasivõtmine peatab TempoLife’i avaldamise kohe ning proovib kustutada JPEG-i ja avalikud väljad; kuni 100 päeva säiliv tühistustõend takistab TempoLife’i koondfailidel uuesti avaldamast. Brauser, puhverserver, otsingumootor või muu saaja võib avalikuna vahemällu salvestatud koopiat säilitada. Konto kustutamine eemaldab TempoLife’i avalikud kaardid ja koopiad kohe.

Avalikud koondandmed

Piirkonna- ja aktiivsuskoondil on eraldi lülitid. Avaldamiseks on vaja vähemalt 20 nõustunud kontot, kasutatakse lõpetatud või viivitusega perioode ja ümardatud vahemikke. Piirkonnavaade ei näita punkte ega seeriaid. Nimed, kontotunnused, üksikud toidukorrad ja tervisekirjed koondväljundisse ei lähe. Tagasivõtmine eemaldab konto järgmisest arvutusest.

Hinnangu ja pakendisildi võrdlus

Vabatahtlik paar sisaldab kalorihinnangut, sama portsjoni pakendisildi väärtust, vabatahtlikku märkust ning kinnituse/nõusoleku aega. Avalikuks läheb ainult eelmise lõppenud kuu koond: üks paar osaleja kohta, vähemalt 100 osalejat, arv 25 kaupa allapoole ja näitajad täisarvudeks. Üksikpaarid ei ole avalikud. Ühe nupuga tagasivõtmine kustutab kohe märkuse ja kaloriväärtused; alles jääb tühistuse auditmärk konto kustutamiseni.

Firefoxi laiendus ja toiduotsing

Laiendus saadab toidu-API-le ainult otsingusõna või valitud toidu tunnuse, mitte külastatud lehti, veebisisu, küpsiseid ega kontot. Firefox hoiab kohapeal kuni viis viimast toidunime. TempoLife turvalogi võib kuni 90 päeva hoida otsingusõna, IP-aadressi, user-agent’i ja aega.

WordPressi märk ja Google Play arvustused

Plugin küsib ainult /counter.php?format=json. TempoLife saab WordPressi serveri IP, plugina user-agent’i ja aja (kuni 90 päeva), kuid mitte külastaja küpsist, IP-d ega lehe URL-i. Arvustuste leht võib ametliku Google Play API kaudu avaldada kontaktandmetest puhastatud avaliku teksti, hinde ja Play lingi; autori nimi jäetakse välja ja üle 72 tunni vanust hetktõmmist ei näidata.

Telegrami portsjonikalkulaator

Tavalises brauseris ei võta kalkulaator Telegramiga ühendust. Telegram Mini Appi käivitusparameetritega laaditakse telegram.org-ist Telegrami SDK; Telegram saab tavapärased võrguandmed (sh IP ja user-agent) ning selle JavaScript töötab kalkulaatori lehel. TempoLife ei loe selles tööriistas Telegrami identiteeti ega init-andmeid.

Vabatahtliku avaldamise alus on nõusolek (GDPR art. 6(1)(a)); turva- ja töölogide alus on õigustatud huvi teenust kaitsta (art. 6(1)(f)). Kontoeksport sisaldab jagamiskaarte, allesolevaid JPEG-e, võrdluspaare ja tühistuskirjeid.

Kiirseadistuse variant

Värskele kontole võidakse määrata kiirseadistuse või tavaseadistuse variant. Salvestame ainult konto seose, variandi, kontost deterministlikult tuletatud pseudojuhusliku rühma ja määramise aja, et sama inimene näeks seadistuse jooksul järjepidevalt sama kogemust. Eraldi vaatamise, klikkimise, toidukorra, foto, tervisenäidu, reklaami- ega kampaaniasündmusi selle katse jaoks ei salvestata; tulemust hinnatakse üksnes olemasoleva profiili seadistuse lõpetamise koondarvust.

Kirjet ei saadeta Google’ile ega teistele kolmandatele osapooltele ning seda ei kasutata reklaamiks. Töötlemise alus on meie õigustatud huvi vähendada konto seadistamise tarbetut hõõrdumist minimaalse ja privaatsust säästva katsega (GDPR art. 6(1)(f)); enne aktiveerimist dokumenteerime huvide tasakaalustamise hinnangu. Võite oma olukorraga seotud põhjustel töötlemisele vastu vaielda jaotises 12 toodud aadressil. Lõpetamata seadistuse kirje kustutatakse 30 päeva järel ja lõpetatud seadistuse kirje 90 päeva järel; konto kustutamise töötlemisel eemaldatakse see kohe ning see on enne kustutamist kaasatud andmete ekspordisse.

Asukoht (valikuline)

Asukoht on valikuline ja väljas, kuni te selle ise sisse lülitate. TempoLife küsib seda ainult siis, kui puudutate toiduotsingu restoranitulemuste all nuppu Kasuta minu asukohta — mitte rakenduse avamisel ja mitte kunagi taustal.

Milleks seda kasutatakse

Et näidata neid restoranide menüüsid, mis sobivad teie asukohaga: selle riigi menüüd, kus te olete (näiteks McDonald’s Eesti menüüd, mitte Suurbritannia oma), ja teie lähedal olevaid restorane eespool.

Mis teie asukohaga juhtub

• Teie seade ümardab asukoha umbes 100 meetri täpsuseni ja saadab selle HTTPS-i kaudu meie serverisse ainult otsingu ajal.
• Meie server kasutab seda selle otsingu jaoks ega salvesta seda — ei teie kontosse, päevikusse ega meie logidesse.
• Et teada saada, millised restoranid on lähedal, küsib meie server avalikult OpenStreetMapi teenuselt (Overpass API, haldaja FOSSGIS e.V., Saksamaa) ümbritseva umbes 1 km suuruse kaardiruudu (koos varuga) toidukohti. Saadetakse ainult see kaardiruut, meie serveri enda aadressilt, ilma millegita, mis tuvastaks teid või teie täpse asukoha.
• Selle kaardiruudu restoranide nimekiri on kaardiandmed, mitte andmed teie kohta. Hoiame seda kuni 14 päeva, et järgmine otsing oleks kiire, ja kustutame selle, kui seal pole 60 päeva jooksul keegi otsinud.
• Teie seade jätab meelde ainult selle, kas lülitasite funktsiooni sisse või välja.

Väljalülitamine

Puudutage restoranitulemuste all Lülita välja või eemaldage luba Androidis: Seaded → Rakendused → TempoLife → Load (brauseris: saidi seaded). Toiduotsing töötab edasi ja kasutab siis teie konto riiki.

Õiguslik alus on teie nõusolek (GDPR art. 6(1)(a)), mille annate funktsiooni sisse lülitades ja loa andes ning mille saate igal ajal ülalkirjeldatud viisil tagasi võtta. Kaardiandmed © OpenStreetMapi kaastöötajad (ODbL).

Milleks me andmeid kasutame (eesmärk ja õiguslik alus)

Toiduotsing: kui otsite toitu, salvestame teie kirjutatud teksti (kuni 120 tähemärki), rakenduse keele, mitu tulemust tuli meie enda toidu andmebaasist ja mitu pakendatud toodete andmebaasist, ning kas salvestasite järgmise 15 minuti jooksul toidu. Sellel on üks eesmärk: leida otsingud, mis ei anna ühtegi tulemust, et need parandada. Kirje on seotud teie kontoga, seda ei saadeta Google Analyticsile ega ühelegi kolmandale osapoolele ning seda ei kasutata kunagi reklaamiks ega profileerimiseks. Õiguslik alus on meie õigustatud huvi, et toiduotsing tegelikult toitu leiaks (GDPR art. 6(1)(f)); võite oma olukorrast lähtudes esitada vastuväite jaotises 12 toodud kontakti kaudu. Kirjed kustutatakse automaatselt 90 päeva järel, eemaldatakse kohe konto kustutamise taotluse töötlemisel ja kuni kustutamiseni sisalduvad kasutaja andmeekspordis.

TempoLife ei kasuta teie andmeid reklaami, profileerimiseks ega kolmandatele osapooltele müügiks. See kehtib eriti Android Health Connectist loetud tervise- ja liikumisandmete kohta, mida ei kasutata kunagi reklaamiks, ei jagata reklaamivõrkude ega andmemaakleritega ega müüda kunagi.

Ei ole meditsiiniseade

TempoLife on üldine heaolu- ja elustiilirakendus. See ei ole meditsiiniseade ega ole mõeldud ühegi haiguse või tervisehäire diagnoosimiseks, raviks, leevendamiseks ega ennetamiseks.

Kõik, mida rakendus näitab — trendid, skoorid, AI koostatud kokkuvõtted ja soovitused ning kõik Health Connectist või ühendatud aktiivsusmonitorist loetud näidud — on mõeldud üksnes üldiseks teavituseks ja enesejälgimiseks. See ei ole meditsiiniline nõuanne ning sellele ei tohi tugineda diagnoosimisel ega ravis, samuti mitte ühegi ravimi või ravi alustamisel, lõpetamisel või muutmisel.

Sellised näitajad nagu pildituvastuse põhjal arvutatud kalorid ja toitained, unefaasid ning pulsinäidud pärinevad tavatarbija anduritest ja automaatsetest mudelitest ning võivad olla ebatäpsed. Meditsiinilise nõu, diagnoosi või ravi saamiseks pöörduge alati kvalifitseeritud tervishoiutöötaja poole. Hädaolukorras helistage hädaabinumbrile (Eestis ja mujal EL-is 112) — ärge tuginege sellele rakendusele.

Kolmandate osapoolte töötlejad

Teie andmeid võivad töödelda ainult järgmised teenusepakkujad, kellega on sõlmitud andmetöötluslepingud (DPA):

Toidupildid saadetakse tundmiseks Google Gemini AI-le (või varuteenusena Anthropic Claude AI-le) ainult päringu hetkel ja kustutatakse teenusepakkuja serveritest automaatselt. Rakenduses tavapäraselt valitud AI-tuvastuse pilte meie serveris ei säilitata. Erandid on ptk-s 2e kirjeldatud eraldi nõusolekuga avaliku arhiivi JPEG ja PWA jagamisfunktsiooni ajutine, metaandmeteta JPEG: viimane hoitakse ainult üleandmiseks, seda ei saadeta automaatselt AI-le ning see kustutatakse alla 10 minuti jooksul või kohe pärast ühekordset avamist. Metaandmed (EXIF, GPS) eemaldatakse.

Android Health Connectist loetud andmeid (sammud, uni, kehakaal, pulss, puhkepulss, HRV ja treeningud) hoitakse teie TempoLife’i kontol meie enda serverites Eestis. Neid ei jagata kunagi reklaamivõrkude, reklaamiplatvormide, andmemaaklerite ega andmete edasimüüjatega ega müüda kunagi. Kui kasutate vabatahtlikke AI-funktsioone — näiteks AI-treenerit või trendikokkuvõtet — võidakse konkreetsele päringule vastamiseks vajalikud näitajad saata ülal loetletud AI-teenusepakkujale ainult selle päringu jaoks ja teie nõusoleku alusel. Neid ei edastata kunagi teenusepakkuja enda eesmärkideks ega reklaamiks.

Rahvusvahelised andmeedastused

Osa teenuseid (Google Gemini, Anthropic Claude, ElevenLabs) asuvad USAs. Andmeid edastatakse ainult Euroopa Komisjoni poolt heaks kiidetud standardsete lepingutingimuste (Standard Contractual Clauses, SCC) või EL-USA andmekaitseraamistiku (Data Privacy Framework) alusel või vastavuseks mõne muu GDPR peatükis V näidatud tagatisega.

Vajutades "Nõustun" AI-teenuse dialoogis, annate mõistes sellise edastuse kohta sõnasõnalise nõusoleku (GDPR art. 49(1)(a)).

Andmete säilitamine

Teie andmeid säilitatakse ainult nii kaua, kui see on vajalik teenuse osutamiseks:

• Aktiivne konto: kontoga seotud andmed säilivad konto kustutamiseni, kui siin ei ole määratud lühemat tähtaega
• Konto kustutamisel (GDPR art. 17): isikuandmed anonümiseeritakse kohe; seotud logide täielik kustutamine toimub 30 päeva jooksul
• Serverilogid (IP, UA): max 90 päeva
• E-posti kinnituskoodid: 15 minutit või kuni kasutamiseni
• Sisselogimislingi volitused: link kehtib 15 minutit; e-posti aadressi ja tokeni räsi sisaldav rida kustutatakse kasutamisel, asendamisel või ühe minuti jooksul pärast aegumist
• PWA kaudu jagatud ajutine toidupilt: alla 10 minuti või kuni ühekordse avamiseni, olenevalt sellest, kumb saabub varem
• Anthropic AI päringud: 30 päeva Anthropicu serverites, seejärel automaatne kustutamine (Anthropic lepingu alusel)
• Asukoht (valikuline restoraniotsing): ei salvestata — kasutatakse ainult otsingu ajal; umbes 1 km kaardiruudu restoranide nimekirja hoitakse kuni 14 päeva ja see ei sisalda kasutajaandmeid (vt ptk 2g)

Turvalisus

TempoLife rakendab tehnilisi ja organisatsioonilisi meetmeid teie andmete kaitseks (GDPR art. 32):

• Kõik andmevahetus toimub üle HTTPS/TLS 1.2+ ühenduse
• Paroolid salvestatakse bcrypt (häsch) kujul — kunagi ei salvestata selget teksti
• CSRF-token kaitse kõigil muutvatel päringutel
• Content Security Policy (CSP), HSTS, X-Frame-Options: DENY
• Android: ainult ametlik Play Store build, keystore SHA-256 allkirjastatud
• Andmebaas (PostgreSQL) asub EL-s (Eesti), varukoopiad krüpteeritud
• Rakenduse varundus on Android-seadmetes KEELATUD (android:allowBackup="false")

Teie õigused

GDPR-i alusel on teil järgmised õigused, mille saab kasutada otse rakendusest (Profile → Privaatsus) või kirjutades info@tempolife.app:

• Õigus andmetega tutvuda (art. 15) — näete kõik oma andmed rakenduses
• Õigus parandada (art. 16) — saate profiili väljad igal ajal muuta
• Õigus andmete kustutamisele (art. 17) — kirjuta info@tempolife.app
• Õigus piirata töötlust (art. 18)
• Õigus andmete ülekantavusele (art. 20) — nupp "Laadi alla minu andmed" annab ZIP-faili JSON-kujul
• Õigus vastu olla (art. 21)
• Õigus nõusoleku tagasi võtta (art. 7) — keelake integratsioon või koondlüliti või eemaldage avalik kaart/võrdluspaar; kontot ei pea kustutama
• Õigus esitada kaebus — Andmekaitse Inspektsioon: www.aki.ee

Kuidas oma kontot kustutada

TempoLife järgib GDPR art. 17 (õigus andmete kustutamisele). Konto kustutamiseks kirjuta meile aadressile info@tempolife.app kontoga seotud e-posti aadressilt. Kustutame sinu konto 30 päeva jooksul.

Mis andmetega juhtub

• Kohe pärast töötlemist: e-post, nimi, profiilifoto ja kõik PII-märgid anonümiseeritakse andmebaasis (nt deleted_12345_1714@deleted.tempolife). Session suletakse. Kontole enam sisse logida ei saa.
• 30 päeva jooksul: kõik sinu terviseandmed (sammud, uni, meeleolu, paastuperioodid, söögilogid jne) ja eemaldatud funktsioonide varasemad kirjed kustutatakse jäädavalt.
• Pärast 30 päeva: sinu kohta andmebaasis enam midagi ei säili, v.a anonümiseeritud statistika ja seadusest tulenevalt nõutavad audit-logid (ilma IP-ta ja e-postita).

Küpsised ja kohalik salvestus

TempoLife kasutab vaikimisi ainult rakenduse toimimiseks vajalikku salvestust. Reklaami- ja analüütikamõõtmine hõlmab Google Analytics 4 (anonüümsed lehevaatamised ja tootefunneli sündmused), kuni 90 päevaks salvestatavaid Google Ads kliki- ja kampaaniatunnuseid ning pseudonüümse juhutunnusega mõõdetud konto loomisele eelnenud rakenduse avamist. See on vaikimisi sees meie õigustatud huvi alusel mõõta, millised kampaaniad toovad registreerumisi, ning saad selle igal ajal mõõtmise eelistustes välja lülitada, misjärel eelnimetatud tunnused eemaldatakse. App-open kirje (platvorm, piiratud user-agent, esimene/viimane avamine ja loendur) kustutatakse hiljemalt 90 päeva pärast viimast avamist. Reklaamide isikupärastamine on alati välja lülitatud. Valikut saad igal ajal mõõtmise eelistustes muuta.

• PHPSESSID — sessiooni identifikaator (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — sinu mõõtmise valik ja kontoseos, mis takistab valiku kandumist jagatud seadmes teisele kontole
• Google Ads kliki-, UTM- ja mõõtmistunnused (_gcl_* / _ga*) — ainult siis, kui mõõtmine on sees, kuni 90 päeva; konto loomise omistamiseks, keeldumisel eemaldatakse
• tl_device (kuni 365 päeva) ja tl_dseen (30 minutit) — ainult siis, kui mõõtmine on sees, pseudonüümseks konto loomisele eelnevaks app-open mõõtmiseks; konto seostamise või keeldumise järel kustutatakse
• Google Analytics 4 — anonüümsed lehevaatamised ja tootefunneli sündmused, vaikimisi sees (reklaamide isikupärastamine väljas)
• Restohind lehevaatamised — küpsiseta loendus lehtedest aadressil restohind.tempolife.app, mõõdetud ise majutatud Umami abil (lehe aadress, viitaja, brauser, riik). Küpsist ega reklaamitunnust ei salvestata.
• Sisselogitud kasutuse telemeetria — sessiooni pikkus ja külastatud ekraanid sisselogitud (mitte-külalis) kontodel, et toodet käitada ja parandada; esimese osapoole andmed, 90 päeva, ei saadeta Google Analytics'ile
• localStorage — teema-eelistused, keelevalik, viimane kasutatud keel, nõusoleku lipud
• Service Worker — offline-tugi ja cache

Laste privaatsus

TempoLife on mõeldud 16-aastastele ja vanematele. Alla 16-aastased ei tohi kontot luua ilma vanema või hooldaja nõusolekuta. Kui saame teada, et oleme kogunud andmeid alla 16-aastase kasutaja kohta ilma nõuetekohase nõusolekuta, kustutame need viivitamatult.

Muudatused privaatsuspoliitikas

Kui privaatsuspoliitikat muudetakse oluliselt, teavitame teid rakenduses (bannerina või e-posti teel) vähemalt 14 päeva enne muudatuste jõustumist. Jätkuv rakenduse kasutamine pärast muudatust tähendab, et olete muudatustega nõus.

Varasemad versioonid on arhiivis aadressil GitHub.

Kontakt

• E-post: info@tempolife.app
• Veebileht: tempolife.app

Järelevalveasutus: Andmekaitse Inspektsioon — www.aki.ee