TempoLife — Tietosuojaseloste

Rekisterinpitäjä

Henkilötietojesi rekisterinpitäjä on:

• Kehittäjä: TempoLife-tiimi / Probyte OÜ
• Sovellus: TempoLife (org.tyrnpuu.medix)
• Sähköposti: info@tempolife.app
• Verkkosivu: tempolife.app

Tämä tietosuojaseloste kuvaa, miten TempoLife-sovellus kerää, käyttää, säilyttää ja suojaa henkilötietojasi EU:n yleisen tietosuoja-asetuksen (GDPR, asetus 2016/679) ja Viron henkilötietojen suojaa koskevan lain mukaisesti.

Mitä tietoja keräämme

2.1 Tili- ja henkilötiedot

• Nimi ja sähköposti (rekisteröityessä tai Google Sign-In -kirjautumisella)
• Profiilikuva (vapaaehtoinen)
• Syntymäaika, sukupuoli, pituus, paino — vain jos annat ne vapaaehtoisesti

2.2 Terveystiedot (GDPR art. 9 — erityinen tietoryhmä)

• Ruokapäiväkirjat (kalorit, makrot, valokuvat)
• Askeleet, fyysinen aktiivisuus, harjoitukset
• Unen kesto ja vaiheet, hereilläoloaika
• Mieliala, stressitaso ja hyvinvointimerkinnät
• Kehonpaino ja paastoikkunat
• Syke (Health Connectista)

2.3 Tekniset tiedot

• Laitetyyppi, käyttöjärjestelmä, sovelluksen versio (User-Agent)
• IP-osoite (palvelinlokit, säilytys enintään 90 päivää)
• Istuntotunniste (PHP-istunto, CSRF-token)

2.4 Mitä EMME kerää

• Sijaintihistoriaa tai taustasijaintia — valinnainen ravintolahaku käyttää sijaintiasi vain haun aikana eikä tallenna sitä (ks. luku 2g)
• Laitetunnisteita (IMEI, Advertising ID, MAC)
• Yhteystietoja, puhelulokeja tai tekstiviestejä
• Muiden sovellusten tietoja — yhtä poikkeusta lukuun ottamatta: jos yhdistät Android Health Connectin, luemme niitä terveystietotyyppejä, joihin olet nimenomaisesti antanut luvan (ks. luku 2a)
• Kuvagalleriaasi — kameraa ja kuvien käyttöoikeutta käytetään vain siihen ruokakuvaan, jonka itse otat tai valitset (ks. luku 2b)

Android Health Connect

Androidilla TempoLife voi lukea terveys- ja liikuntatietoja Health Connectista, joka on Androidiin sisäänrakennettu tietovarasto. Tämä on täysin vapaaehtoista. Mitään ei lueta ennen kuin olet yhdistänyt Health Connectin sovelluksessa ja antanut luvan erikseen jokaiselle tietotyypille Androidin omalla lupanäytöllä.

Mitä luemme

• Askeleet — päivittäiset askelmäärät
• Uni — unijaksot ja unen vaiheet (syvä, kevyt, REM, hereillä)
• Syke — sykemittaukset
• Leposyke — laitteen laskemat leposykemittaukset
• Sykevaihtelu (HRV, RMSSD) — palautumistrendiin käytettävä millisekuntiarvo
• Harjoitukset — laji, alku, loppu, kesto ja saatavilla oleva matka sekä energia
• Kehonpaino — painomittaukset

Pyydämme vain lukuoikeuden. TempoLife ei kirjoita mitään takaisin Health Connectiin.

Miksi sovellus tarvitsee näitä

Nämä tiedot tukevat aktiivisuus- ja uniyhteenvetoja, painotrendiä sekä Syke-näkymää: uusinta mittausta, henkilökohtaista 28 päivän leposykkeen perustasoa, aktiivisuuden/unen/paaston/meditaation/mielialan kontekstia, harjoitusalueita ja sykkeen palautumista sekä ei-lääketieteellistä palautumisnäkymää leposykkeen, HRV:n, unen ja harjoituskuorman perusteella.

Mistä tiedot tulevat

Health Connect on omalla laitteellasi sijaitseva varasto, johon muut sovellukset ja laitteet kirjoittavat — esimerkiksi Samsung Health tai Garmin. TempoLife lukee sen, mikä on jo Health Connectissa. Emme yhdistä näihin palveluihin suoraan emmekä näe mitään muuta kuin ne tietotyypit, joihin olet antanut luvan. Health Connect itse toimii laitteellasi; sen yhdistäminen ei lähetä tietojasi Googlelle.

Kuinka paljon historiaa

Erillisellä historiakäyttöoikeudella TempoLife voi lukea enintään 12 kuukauden askel-, uni- ja painotiedot. Syke-moduuli lukee perustasoa varten enintään 35 päivää lepo- ja HRV-tietoja sekä 30 päivää harjoituksia. Ilman historiakäyttöä Health Connect rajaa historian noin 30 päivään. Yleinen syketuonti rajataan viimeisiin 7 päivään; tiheämpiä mittauksia säilytetään viimeaikaisten harjoitusten ympäriltä alueita ja 1/2 minuutin palautumista varten. Myöhemmin luetaan vain uudet ja muuttuneet tiedot lyhyellä päällekkäisyydellä.

Missä niitä säilytetään

Health Connectista luetut tiedot siirretään HTTPS/TLS-yhteydellä ja tallennetaan omalle TempoLife-tilillesi palvelimillemme Viroon (EU) täsmälleen samoin kuin käsin syöttämäsi tiedot. Ne näkyvät vain sinulle.

Mitä emme koskaan tee niillä

• Health Connect -tietoja ei koskaan käytetä mainontaan tai markkinointiin, personoituun tai kiinnostuksiin perustuvaan mainontaan eikä mainosyleisöjen rakentamiseen.
• Niitä ei koskaan jaeta mainosverkostoille, mainosalustoille, tietovälittäjille tai tiedon jälleenmyyjille.
• Niitä ei koskaan myydä kenellekään eikä mihinkään tarkoitukseen.
• Niitä ei sisällytetä mihinkään sovelluksesta lähetettävään analytiikka- tai mainostapahtumaan.
• Niitä ei luovuteta millekään kolmannelle osapuolelle tämän omiin tarkoituksiin.

Käyttöoikeuden peruuttaminen

• Sovelluksessa: katkaise Health Connect -yhteys sovelluksen asetuksista. Tämän jälkeen TempoLife lopettaa uusien tietojen lukemisen.
• Laitteella: Androidin Asetukset → Health Connect → Sovellusten käyttöoikeudet → TempoLife, jossa voit poistaa yksittäisiä tietotyyppejä tai koko käyttöoikeuden kerralla. Health Connect pitää myös omaa lokia siitä, mitkä sovellukset ovat lukeneet tietojasi.

Käyttöoikeuden peruuttaminen lopettaa kaikki tulevat luvut. Jo synkronoidut tiedot jäävät TempoLife-tilillesi, jotta historiasi ei katoa huomaamatta — voit ladata ne milloin tahansa (luku 8), ja ne poistetaan pysyvästi, kun poistat tilisi (luku 8a).

Kamera ja ruokakuvat

TempoLife pyytää kameran käyttöoikeutta yhtä ainoaa tarkoitusta varten: aterian kuvaamiseen, jotta se tunnistetaan automaattisesti eikä sitä tarvitse syöttää käsin. Kuvaamisen sijaan voit myös valita olemassa olevan kuvan. Lupa pyydetään vasta kun käytät toimintoa ensimmäisen kerran, eikä sovellus koskaan ota kuvia taustalla.

Kuva poistuu laitteeltasi

Ruoan tunnistus ei tapahdu puhelimessasi. Kun vahvistat, kuva lähetetään HTTPS-yhteydellä kolmannen osapuolen tekoälypalvelulle — ensisijaisesti Googlelle (Gemini) ja varapalveluna Anthropicille (Claude AI) — joka palauttaa tunnistetut ruoat ja niiden arvioidut ravintoarvot. Tämä on tietojesi siirto kolmannelle osapuolelle sovelluksen ulkopuolelle, ja se tapahtuu vasta kun olet nimenomaisesti hyväksynyt sen sovelluksen dialogissa. Jos et hyväksy, yhtään kuvaa ei lähetetä ja voit silti kirjata ruoan käsin.

Mitä kuvalle tapahtuu

• Kuvasta poistetaan EXIF- ja GPS-metatiedot ennen lähetystä.
• Kuva lähetetään vain pyynnön hetkellä ja poistetaan sen jälkeen palveluntarjoajan palvelimilta sopimustemme mukaisesti (ks. luku 4).
• Tavallisessa AI-käsittelyssä tallennetaan vain ruokamerkintä ja ravintoarvot. Erillisellä suostumuksella tehty julkisen arkiston JPEG on luvun 2e poikkeus.
• Ruokakuvia ei koskaan käytetä mainontaan eikä niitä koskaan myydä.

Anonyymin esikatselun suostumus- ja väärinkäytössuoja

Ilman tiliä käytettävässä esikatselussa säilytämme enintään 2 päivää vain salaisella avaimella muodostetun, päiväkohtaisen pseudonyymin verkkosubjektin, suostumusversion ja tapahtuma-ajan. Tietue ei sisällä kuvaa, AI-tulosta, ruokakirjausta, mainostunnistetta tai tiliä eikä sitä yhdistetä markkinointianalytiikkaan. Suostumustodiste perustuu joka käyttökerralla antamaasi suostumukseen ja velvollisuuteemme osoittaa se (GDPR 6(1)(a) ja 7 artikla); lyhyt pyyntöraja perustuu oikeutettuun etuumme estää palvelun väärinkäyttöä ja suhteettomia AI-kuluja (6(1)(f)).

Koska esikatselu toimii ilman tiliä, tietuetta ei voida liittää tilin tietojen vientiin eikä käyttää luotettavasti henkilön tunnistamiseen. Se poistetaan automaattisesti viimeistään 2 päivän kuluessa. Jos haluat käyttää oikeuttasi tai vastustaa käsittelyä, ota yhteyttä luvun 12 osoitteeseen; selitämme tämän käytännön rajoituksen ja toteutamme todennettavan pyynnön mahdollisuuksien mukaan.

Voit peruuttaa kameran käyttöoikeuden milloin tahansa Androidin Asetukset → Sovellukset → TempoLife → Käyttöoikeudet -kohdasta. Sovelluksen muut osat toimivat normaalisti.

Yhteisö ja Tempo-syöte

Yhteisö on vapaaehtoinen. Jos et käytä sitä, tietojasi ei jaeta muille käyttäjille.

Mitä muut näkevät

• Profiili: näyttönimesi, valitsemasi emoji, taso ja pisteet.
• Tulostaulu: nimi, taso ja pistemäärä. Voit piilottaa itsesi tulostaulusta (Yhteisö → Yksityisyys).
• Haasteet: osallistumisesi ja edistymisesi niissä haasteissa, joihin liityt.
• Viestit: se, minkä itse lähetät. Viestejä voi vaihtaa vain kavereiden kesken.
• Syöte: luomasi julkaisut, tarinat, kuvat, kyselyt, kommentit, reaktiot ja seuraamissuhteet. Valitset jokaisen julkaisun tai tarinan yleisön.

Terveyslokeistasi ei jaeta mitään automaattisesti. Jos otat syöteasetuksissa erikseen käyttöön aktiivisuusluokan, seuraajat voivat nähdä rajatun yhteenvedon, kuten askelmäärän, kirjattujen aterioiden määrän, unen tai paaston keston, saavutuksen tai sen, että painomerkintä tehtiin. Tarkkaa painoa, päiväkirjarivejä, muistiinpanoja, reittejä, mielialaa, sykettä tai muita Health Connect -tietoja ei näytetä.

Ilmoittaminen ja estäminen

Jokaisessa käyttäjäprofiilissa on Estä ja Ilmoita. Estäminen lopettaa yhteydenpidon molempiin suuntiin. Ilmoituksesta tallennamme ilmoittajan, viittauksen sisältöön ja syyn, jotta voimme tarkistaa sen ja tarvittaessa poistaa sisältöä tai sulkea tilejä.

Säilytys

Viestit, syötejulkaisut ja muu yhteisösisältö säilytetään, kunnes poistat sisällön tai tilin. Tarinat vanhenevat 24 tunnissa; julkaisuun liittämättömät syötekuvat poistetaan tavallisesti kahden tunnin kuluessa. Tilin poistaminen poistaa yhteisöprofiilin, viestit, median ja yhteisömerkinnät kohdan ”Tietojen poistaminen” mukaisesti.

Päiväsuunnitelmahaaste (€100-kampanja)

Pistehaaste on vapaaehtoinen. Jos et liity, tietojasi ei käsitellä kampanjaa varten lainkaan.

Mitä tietoja kampanja käyttää

• Pisteytystiedot: liittyessä lukittu ateria-aikataulu, ateriasuunnitelman toteutuminen sekä varmennetun toiminnon tyyppi ja aikaleima. Kalorit, paino, askelten määrä ja unen kesto eivät lisää pisteitä.
• Tulostaulun tiedot: näyttönimesi, pistesumma, ateriasuunnitelman pisteet, varmennettujen toimintojen määrä ja aktiiviset päivät. Piiloutuminen tulostaulusta (Yhteisö → Yksityisyys) koskee myös kampanjaa.
• Voittaessasi: yhteystietosi (sähköposti) palkinnon maksamista varten.

Kampanja ei kerää uusia tietoja — se käyttää vain tietoja, joita jo kirjaat Sovellukseen — eikä jaa niitä kolmansille osapuolille tai mainosverkostoille.

Oikeusperuste ja säilytys

Kampanjatietoja käsitellään suostumuksesi (liittyminen) ja kampanjasääntöjen täyttämisen (sopimus) perusteella. Kampanjakirjauksia säilytetään tilisi poistamiseen asti; palkinnon maksuun liittyviä tietoja säilytetään kirjanpitolain edellyttämän ajan. Hall of fameen tallennetaan vain näyttönimesi ja yhteenvetotulos.

Vapaaehtoinen julkinen jakaminen, koosteet ja julkiset työkalut

Julkinen ateriakortti, galleria, päivän kuva ja arvonta

Tavallisia tekoälyruokakuvia ei tallenneta TempoLifen palvelimille. Vain erillisellä julkisen verkkoarkiston suostumuksella palvelin luo metatiedoista puhdistetun JPEG:n ja julkisen kortin. Kuva, nimi, kuvateksti, kortin sisältö ja tunnus voivat näkyä galleriassa, hakukoneiden rakenteisissa tiedoissa ja päivän kuva -kierrossa; anonyymejä katselu- ja arvauslaskureita ei julkaista sitoutumismittareina. Kortti vanhenee enintään 90 päivässä; automaattinen siivous poistaa vanhentuneet/orvot tiedostot, mutta häiriö voi viivästää fyysistä poistoa seuraavaan onnistuneeseen siivoukseen. Päivän kuva -artefakti on voimassa enintään 36 tuntia.

ISO-viikon arvontaan osallistuminen ja voittajan nimen näyttö ovat lisävalintoja, jotka sidotaan sääntöjen täsmälliseen versioon, olennaisten ehtojen tiivisteeseen ja arvontasitoutumiseen. Osallistuminen avautuu vasta, kun kertakäyttöisen arvontasalaisuuden tiiviste on julkaistu ennen avaamista. Ikä-, maa- ja henkilöstörajojen valvonta lukee tilin syntymäajan, maan ja roolin; näitä profiilikenttiä ei julkaista arvonta-artefaktissa. Sulkemisen jälkeen auditointi julkaisee salaisuuden, viikon ja julkisen kortin tunnuksesta johdetut pseudonyymit osallistumisavaimet, luettelon tiivisteen ja voittavan avaimen; tilitunnuksia tai lähdetunnuksia ei julkaista. Suostumus ei siirry toiselle viikolle tai muuttuneisiin ehtoihin. Yhden tai kaikki kohteet voi poistaa arkistoasetuksissa. Peruutus estää TempoLifen julkaisun heti ja yrittää poistaa JPEG:n ja julkiset kentät; enintään 100 päivän peruutustodiste estää TempoLifen artefaktien uudelleenjulkaisun. Selain, välityspalvelin, hakukone tai muu vastaanottaja voi säilyttää julkisena välimuistiin tallentamansa kopion. Tilin poisto poistaa TempoLifen julkiset kortit ja kopiot heti.

Julkiset koosteet

Alue- ja aktiivisuuskoosteilla on omat asetukset. Julkaisu vaatii vähintään 20 tiliä, päättyneet/viivästetyt jaksot ja pyöristyksen. Pisteitä ja putkia ei näytetä. Nimet, tilitunnukset, yksittäiset ateriat ja terveystiedot eivät kuulu tulokseen. Peruutus poistaa tilin seuraavasta laskennasta.

Arvion ja etiketin vertailu

Vapaaehtoinen pari sisältää kaloriarvion, saman annoksen etikettiarvon, valinnaisen muistiinpanon ja suostumusajat. Vain edellisen päättyneen kuukauden kooste julkaistaan: yksi pari/osallistuja, vähintään 100 osallistujaa, määrä alas 25:n välein ja mittarit kokonaisluvuiksi. Yksittäisiä pareja ei julkaista. Yhden painikkeen peruutus poistaa arvot ja muistiinpanon heti; vain peruutuksen auditointi jää tilin poistoon.

Firefox ja ruokahaku

Laajennus lähettää vain hakutermin tai ruokatunnisteen, ei sivuja, sivusisältöä, evästeitä tai tiliä. Firefox säilyttää paikallisesti viisi nimeä. TempoLife voi säilyttää hakutermin, IP:n, user-agentin ja ajan suojauslokissa enintään 90 päivää.

WordPress ja Google Play -arvostelut

Lisäosa pyytää vain /counter.php?format=json. TempoLife saa WordPress-palvelimen IP:n, user-agentin ja ajan (enintään 90 päivää), ei kävijän evästettä/IP:tä tai sivun URL:ia. Arvostelusivu voi julkaista yhteystiedoista puhdistetun julkisen tekstin, arvosanan ja Play-linkin virallisesta API:sta ilman kirjoittajan nimeä; yli 72 tunnin tilannekuvaa ei näytetä.

Telegram-annoslaskuri

Tavallisessa selaimessa laskuri ei ota yhteyttä Telegramiin. Telegram Mini App -käynnistysparametreilla se lataa SDK:n osoitteesta telegram.org; Telegram saa tavalliset verkkotiedot (kuten IP:n ja user-agentin), ja sen JavaScript toimii laskurisivulla. TempoLife ei lue tässä työkalussa Telegram-identiteettiä tai init-dataa.

Julkaisu perustuu suostumukseen (GDPR art. 6(1)(a)); suojauslokit oikeutettuun etuun (art. 6(1)(f)). Vienti sisältää kortit, jäljellä olevat JPEG:t, vertailuparit ja peruutustiedot.

Pika-asetuksen versio

Uudelle tilille voidaan määrittää pika-asetuksen tai tavallisen asetuksen versio. Tallennamme vain tililinkin, version, tilistä deterministisesti johdetun näennäissatunnaisen ryhmän ja määritysajan, jotta sama henkilö saa johdonmukaisen kokemuksen koko asetuksen ajan. Tätä testiä varten ei luoda erillisiä katselu-, klikkaus-, ateria-, valokuva-, terveys-, mainos- tai kampanjatapahtumia; tulos arvioidaan vain olemassa olevan profiiliasetuksen valmistumisen yhdistetyistä määristä.

Tietuetta ei lähetetä Google Analyticsille tai muille kolmansille osapuolille eikä sitä käytetä mainontaan. Oikeusperuste on oikeutettu etumme vähentää tarpeetonta asetuksen kitkaa minimaalisella, yksityisyyttä suojaavalla testillä (GDPR 6(1)(f)); dokumentoimme etujen tasapainoarvion ennen käyttöönottoa. Voit vastustaa käsittelyä omaan tilanteeseesi liittyvällä perusteella ottamalla yhteyttä luvun 12 osoitteeseen. Keskeneräisen asetuksen määritys poistetaan 30 päivän ja valmistuneen asetuksen määritys 90 päivän kuluttua; se poistetaan heti tilin poistopyyntöä käsiteltäessä ja sisältyy käyttäjän tietojen vientiin poistoon asti.

Sijainti (valinnainen)

Sijainti on valinnainen ja pois päältä, kunnes itse otat sen käyttöön. TempoLife pyytää sitä vain, kun napautat ruokahaun ravintolatulosten alla olevaa kohtaa Käytä sijaintiani — ei koskaan sovellusta avattaessa eikä koskaan taustalla.

Mihin sitä käytetään

Näyttämään ne ravintoloiden ruokalistat, jotka sopivat sijaintiisi: sen maan ruokalista, jossa olet (esimerkiksi Viron McDonald’sin eikä Ison-Britannian lista), ja lähelläsi olevat ravintolat ensimmäisinä.

Mitä sijainnillesi tapahtuu

• Laitteesi pyöristää sijainnin noin 100 metrin tarkkuuteen ja lähettää sen HTTPS-yhteydellä palvelimellemme vain haun aikana.
• Palvelimemme käyttää sitä kyseiseen hakuun eikä tallenna sitä — ei tilillesi, ei päiväkirjaasi eikä lokeihimme.
• Selvittääkseen, mitkä ravintolat ovat lähellä, palvelimemme kysyy julkiselta OpenStreetMap-palvelulta (Overpass API, ylläpitäjä FOSSGIS e.V., Saksa) paikat ympäröivästä noin 1 km:n karttaruudusta (marginaalin kera). Vain tämä karttaruutu lähetetään, palvelimemme omasta osoitteesta, ilman mitään, mikä yksilöisi sinut tai tarkan sijaintisi.
• Karttaruudun ravintolaluettelo on karttatietoa, ei tietoa sinusta. Säilytämme sitä enintään 14 päivää, jotta seuraava haku on nopea, ja poistamme sen, kun kukaan ei ole hakenut sieltä 60 päivään.
• Laitteesi muistaa vain, otitko toiminnon käyttöön vai poistitko sen.

Käytöstä poistaminen

Napauta ravintolatulosten alla Poista käytöstä tai poista lupa Androidissa: Asetukset → Sovellukset → TempoLife → Luvat (selaimessa: sivuston asetukset). Ruokahaku toimii edelleen ja käyttää tilisi maata.

Oikeusperuste on suostumuksesi (GDPR art. 6(1)(a)), jonka annat ottamalla toiminnon käyttöön ja antamalla luvan ja jonka voit perua milloin tahansa yllä kuvatulla tavalla. Karttatiedot © OpenStreetMapin tekijät (ODbL).

Mihin käytämme tietoja (tarkoitus ja oikeusperuste)

Ruokahaku: kun haet ruokaa, tallennamme kirjoittamasi tekstin (enintään 120 merkkiä), sovelluksen kielen, montako tulosta tuli omasta ruokatietokannastamme ja montako pakattujen tuotteiden tietokannasta, sekä tallensitko ruoan seuraavien 15 minuutin aikana. Sillä on yksi tarkoitus: löytää haut, jotka eivät palauta mitään, jotta voimme korjata ne. Tietue on yhdistetty tiliisi, sitä ei lähetetä Google Analyticsille eikä millekään kolmannelle osapuolelle, eikä sitä koskaan käytetä mainontaan tai profilointiin. Oikeusperuste on oikeutettu etumme siihen, että ruokahaku todella löytää ruokaa (GDPR 6(1)(f)); voit vastustaa käsittelyä omaan tilanteeseesi liittyvällä perusteella ottamalla yhteyttä luvun 12 osoitteeseen. Tietueet poistetaan automaattisesti 90 päivän kuluttua, poistetaan heti tilin poistopyyntöä käsiteltäessä ja sisältyvät käyttäjän tietojen vientiin poistoon asti.

TempoLife ei käytä tietojasi mainontaan, profilointiin tai myyntiin kolmansille osapuolille. Tämä koskee erityisesti Android Health Connectista luettuja terveys- ja liikuntatietoja, joita ei koskaan käytetä mainontaan, ei jaeta mainosverkostoille tai tietovälittäjille eikä koskaan myydä.

Ei ole lääkinnällinen laite

TempoLife on yleinen hyvinvointi- ja elämäntapasovellus. Se ei ole lääkinnällinen laite eikä sitä ole tarkoitettu minkään sairauden tai terveydentilan diagnosointiin, hoitoon, lievittämiseen tai ehkäisyyn.

Kaikki, mitä sovellus näyttää — trendit, pisteytykset, tekoälyn tuottamat yhteenvedot ja valmennusehdotukset sekä kaikki Health Connectista tai yhdistetystä aktiivisuusrannekkeesta luetut lukemat — on tarkoitettu vain yleiseksi tiedoksi ja itseseurantaan. Se ei ole lääketieteellistä neuvontaa eikä siihen saa tukeutua diagnoosissa tai hoidossa eikä minkään lääkityksen tai hoidon aloittamisessa, lopettamisessa tai muuttamisessa.

Kuvantunnistuksen kalori- ja ravintoarvioiden, univaiheiden ja sykelukemien kaltaiset arvot perustuvat kuluttajatason antureihin ja automaattisiin malleihin ja voivat olla epätarkkoja. Käänny lääketieteellisen neuvon, diagnoosin tai hoidon saamiseksi aina pätevän terveydenhuollon ammattilaisen puoleen. Hätätilanteessa soita hätänumeroon (112 EU:ssa) — älä luota tähän sovellukseen.

Kolmannen osapuolen käsittelijät

Tietojasi saavat käsitellä vain seuraavat palveluntarjoajat, joiden kanssa on allekirjoitettu tietojenkäsittelysopimus (DPA):

Ruokakuvat lähetetään Google Gemini AI:lle (tai varalla Anthropic Claude AI:lle) vain pyyntöä varten ja poistetaan palveluntarjoajalta sen jälkeen. Sovelluksen tavallisessa AI-virrassa valittuja kuvia ei säilytetä palvelimillamme. Poikkeuksia ovat luvun 2e erillisellä suostumuksella tehty julkisen arkiston JPEG sekä valinnaisen PWA-jakotoiminnon väliaikainen, metatiedoton JPEG: jälkimmäinen säilytetään vain siirtoa varten, sitä ei lähetetä automaattisesti AI:lle ja se poistetaan alle 10 minuutissa tai heti kertaluonteisen noudon jälkeen. EXIF/GPS-metatiedot poistetaan.

Android Health Connectista luetut tiedot (askeleet, uni, paino, syke, leposyke, HRV ja harjoitukset) tallennetaan TempoLife-tilillesi omille palvelimillemme Viroon. Niitä ei koskaan jaeta mainosverkostoille, mainosalustoille, tietovälittäjille tai tiedon jälleenmyyjille eikä koskaan myydä. Jos käytät vapaaehtoisia tekoälytoimintoja — esimerkiksi tekoälyvalmentajaa tai trendiyhteenvetoa — kyseiseen pyyntöön vastaamiseen tarvittavat luvut voidaan lähettää yllä mainitulle tekoälypalvelun tarjoajalle vain tuota pyyntöä varten ja suostumuksesi perusteella. Niitä ei koskaan siirretä palveluntarjoajan omiin tarkoituksiin eikä koskaan mainontaan.

Kansainväliset tiedonsiirrot

Osa palveluista (Google Gemini, Anthropic Claude, ElevenLabs) sijaitsee Yhdysvalloissa. Tietoja siirretään vain Euroopan komission hyväksymien vakiosopimuslausekkeiden (SCC), EU-US Data Privacy Framework -järjestelyn tai muiden GDPR:n V luvun mukaisten takeiden nojalla.

Klikkaamalla ”Hyväksyn” AI-palvelun dialogissa annat nimenomaisen suostumuksen tällaiseen siirtoon (GDPR art. 49(1)(a)).

Tietojen säilytys

Tietojasi säilytetään vain niin kauan kuin palvelun tuottaminen edellyttää:

• Aktiivinen tili: tilitiedot säilyvät poistoon asti, ellei tässä selosteessa anneta lyhyempää aikaa
• Tilin poisto (GDPR art. 17): henkilötiedot anonymisoidaan heti; liittyvät lokit poistetaan täysin 30 päivän kuluessa
• Palvelinlokit (IP, UA): enintään 90 päivää
• Sähköpostivarmistuskoodit: 15 minuuttia tai käytön jälkeen
• Kirjautumislinkin tunnisteet: linkki on voimassa 15 minuuttia; sähköpostiosoitteen ja tunnistetiivisteen sisältävä rivi poistetaan käytön tai korvaamisen yhteydessä tai minuutin kuluessa vanhenemisesta
• PWA:n kautta jaettu väliaikainen ruokakuva: alle 10 minuuttia tai kertaluonteiseen noutoon asti sen mukaan, kumpi toteutuu ensin
• Anthropic AI -pyynnöt: 30 päivää Anthropicin palvelimilla, sitten automaattinen poisto (DPA:n mukaisesti)
• Sijainti (valinnainen ravintolahaku): ei tallenneta — käytetään vain haun aikana; noin 1 km:n karttaruudun ravintolaluetteloa säilytetään enintään 14 päivää, eikä se sisällä käyttäjätietoja (ks. luku 2g)

Tietoturva

TempoLife soveltaa teknisiä ja organisatorisia suojatoimia (GDPR art. 32):

• Kaikki liikenne HTTPS/TLS 1.2+ -yhteydellä
• Salasanat tallennetaan bcrypt-tiivisteinä — selväkielistä ei koskaan tallenneta
• CSRF-tokensuoja kaikissa muokkaavissa pyynnöissä
• Content Security Policy (CSP), HSTS, X-Frame-Options: DENY
• Android: vain virallinen Play Store -build, keystore SHA-256 -allekirjoitettu
• Tietokanta (PostgreSQL) EU:ssa (Virossa); varmuuskopiot salattu
• Android-pilvivarmuuskopiointi POIS KÄYTÖSTÄ (android:allowBackup="false")

Oikeutesi

GDPR:n nojalla sinulla on seuraavat oikeudet, joita voit käyttää suoraan sovelluksessa (Profiili → Yksityisyys) tai kirjoittamalla osoitteeseen info@tempolife.app:

• Tarkastusoikeus (art. 15) — näet kaikki tietosi sovelluksessa
• Oikeus oikaisuun (art. 16) — muokkaa profiilikenttiä milloin tahansa
• Oikeus tietojen poistoon (art. 17) — lähetä sähköpostia osoitteeseen info@tempolife.app
• Oikeus rajoittaa käsittelyä (art. 18)
• Oikeus siirtää tiedot (art. 20) — ”Lataa tietoni” -painike palauttaa ZIP-tiedoston JSON-muodossa
• Oikeus vastustaa (art. 21)
• Oikeus peruuttaa suostumus (art. 7) — poista integraatio/kooste käytöstä tai julkinen kortti/vertailupari; koko tiliä ei tarvitse poistaa
• Oikeus tehdä valitus — Viron tietosuojavaltuutettu: www.aki.ee

Kuinka poistaa tilisi

TempoLife noudattaa GDPR:n 17 artiklaa (oikeus tulla unohdetuksi). Tilin poistamiseksi lähetä sähköpostia osoitteeseen info@tempolife.app tiliin liitetystä osoitteesta. Poistamme tilin 30 päivän kuluessa.

Mitä tiedoillesi tapahtuu

• Pyynnön käsittelyn jälkeen: sähköpostisi, nimesi, profiilikuvasi ja kaikki henkilötunnisteet anonymisoidaan tietokannassa (esim. deleted_12345_1714@deleted.tempolife). Istuntosi päättyy. Et voi enää kirjautua.
• 30 päivän kuluessa: kaikki henkilökohtaiset terveystietosi (askeleet, uni, mieliala, paastojaksot, ruokalokit jne.) sekä poistettujen ominaisuuksien aiemmat merkinnät poistetaan pysyvästi.
• 30 päivän jälkeen: sinusta ei jää tietokantaan mitään tunnistettavaa, lukuun ottamatta anonymisoituja yhdistelmätilastoja ja lain edellyttämiä auditointilokeja (IP ja sähköposti poistetaan 30 päivän jälkeen).

Evästeet ja paikallinen tallennus

TempoLife käyttää oletuksena vain palvelun toiminnan kannalta välttämätöntä tallennusta. Mainonnan ja analytiikan mittaus kattaa Google Analytics 4:n (anonyymit sivunäkymät ja tuotesuppilon tapahtumat), Google Adsin klikki- ja kampanjatunnisteet enintään 90 päivän ajan sekä tiliä edeltävän sovelluksen avauksen satunnaisella pseudonyymillä tunnisteella. Se on oletuksena käytössä oikeutetun etumme perusteella mitata, mitkä kampanjat johtavat rekisteröitymisiin, ja voit kytkeä sen pois milloin tahansa mittausasetuksissa, jolloin edellä mainitut tunnisteet poistetaan. App-open-tietue (alusta, rajattu user-agent, ensimmäinen/viimeinen avaus ja laskuri) poistetaan viimeistään 90 päivän kuluttua viimeisestä avauksesta. Mainonnan personointi pysyy aina poissa käytöstä. Voit muuttaa valintaa milloin tahansa mittausasetuksissa.

• PHPSESSID — istuntotunniste (HttpOnly, Secure, SameSite=Lax)
• tempolife_ad_consent + tempolife_ad_consent_uid — mittausvalinta ja tilisidonta, joka estää valinnan siirtymisen jaetun laitteen toiselle tilille
• Google Adsin klikki-, UTM- ja mittaustunnisteet (_gcl_* / _ga*) — vain kun mittaus on päällä, enintään 90 päivää; tilin luonnin attribuutioon, poistetaan kiellon yhteydessä
• tl_device (enintään 365 päivää) ja tl_dseen (30 minuuttia) — vain kun mittaus on päällä, pseudonyymiin, rekisteröitymistä edeltävän app-openin mittaukseen; poistetaan tilin linkityksen tai kiellon jälkeen
• Google Analytics 4 — anonyymit sivunäkymät ja tuotesuppilon tapahtumat, oletuksena käytössä (mainonnan personointi pois päältä)
• Restohind-sivunäytöt — evästeetön laskenta sivuista osoitteessa restohind.tempolife.app, itse ylläpidetyllä Umamilla (sivun osoite, viittaaja, selain, maa). Ei evästettä eikä mainostunnistetta.
• Kirjautuneen käytön telemetria — istunnon kesto ja avatut näytöt kirjautuneilla (ei-vieras) tileillä tuotteen ylläpitoa ja kehitystä varten; first-party, 90 päivää, ei lähetetä Google Analyticsille
• localStorage — teema, kieli, suostumuslippu
• Service Worker — offline-tuki ja välimuisti

Lasten yksityisyys

TempoLife on tarkoitettu 16 vuotta täyttäneille. Alle 16-vuotiaat eivät saa luoda tiliä ilman vanhemman/huoltajan suostumusta. Jos saamme tietää keränneemme tietoja alle 16-vuotiaasta käyttäjästä ilman asianmukaista suostumusta, poistamme ne välittömästi.

Tietosuojaselosteen muutokset

Jos tietosuojaselostetta muutetaan olennaisesti, ilmoitamme siitä sovelluksessa (banneri tai sähköposti) vähintään 14 päivää ennen muutoksen voimaantuloa. Sovelluksen käytön jatkaminen muutoksen jälkeen tarkoittaa, että hyväksyt muutokset.

Aiemmat versiot on arkistoitu osoitteessa GitHub.

Yhteystiedot

• Sähköposti: info@tempolife.app
• Verkkosivu: tempolife.app

Valvontaviranomainen: Viron tietosuojavaltuutettu — www.aki.ee