Tietosuojakäytäntö

Mitä jää puhelimeesi

Sovellus säilyttää päiväkirjasi, painosi, suunnitelmasi, mittasi, edistymiskuvasi ja asetuksesi omassa tallennustilassaan puhelimessasi. Edistymiskuvia se ei lähetä minnekään, eivätkä ne kuulu palvelimellamme olevaan varmuuskopioon. Pienet lautaskuvat, joita sovellus säilyttää viikon lautaskatsausta varten, ja kuvat, jotka näytät valmentajalle, jäävät nekin puhelimeen; ne lähtevät sieltä vain osana tekoälypyyntöä (ks. alla). ”Laitteella”-tunnistustilassa kuva ei lähde puhelimesta lainkaan. (Jos iCloud-varmuuskopiointi on iOS:ssä päällä, Applen oma iPhonen varmuuskopio sisältää myös 17 Fitin tiedostot, kuten kaikkien muidenkin appien.)

Apple Terveydestä 17 Fit lukee vain askeleet, aktiiviset kalorit ja painon – laskeakseen energiankulutuksesi sen mukaan, kuinka paljon oikeasti liikut – eikä kirjoita sinne mitään. Annat ja perut tämän käyttöoikeuden itse: Terveys-sovellus → profiilisi → Apit → 17 Fit. Apple Watchilla ei ole omaa yhteyttä palvelimeemme: kello vaihtaa tietoja vain iPhonesi kanssa. Bluetooth-keittiövaaka yhdistyy suoraan puhelimeen.

Mitä palvelimellamme säilytetään

• Anonyymi tili: satunnainen tunniste; laitteesi tunnisteen sormenjälki (HMAC), jotta tietosi palaavat uudelleenasennuksen jälkeen; alusta ja järjestelmäversio; sekä tilin luontipäivä ja viimeisin käyttöpäivä. Emme koskaan kysy sähköpostiosoitetta tai puhelinnumeroa, ja nimeä kysymme vain Ohjauksessa – mikä tahansa lempinimi käy. Pääsytunnuksesta säilytetään vain tiiviste.
• Varmuuskopio sovelluksen tiedoista niin kauan kuin synkronointi on päällä: päiväkirja, paino (myös Apple Terveydestä luetut punnitukset), mitat, suunnitelma ja ruokalista, vesi, paasto, ravintolisät, asetukset, keskustelusi valmentajan kanssa, se, mitä valmentaja muistaa sinusta, Ultimate-valmentajan kansio sekä Apple Terveydestä luetut askeleet ja aktiiviset kalorit. Kuvia siihen ei tallenneta. Voit kytkeä sen pois ja poistaa sen palvelimelta kohdassa Profiili → Asetukset → Tiedot → Yksityisyys ja tiedot.
• Tekoälypyyntöjen loki: aika, pyynnön tyyppi, malli, tokenien määrä, kustannus, kesto ja – jos pyyntö epäonnistui – palveluntarjoajan virheteksti; asiantuntijan tekoälyluonnoksesta lisäksi se Ohjauksen yhteys, jota varten luonnos tehtiin. Paketin päivärajat lasketaan tästä lokista. Kuvia, pyyntöjen tekstejä tai vastauksia ei tallenneta.
• Arviosi valmentajan vastauksista (peukku ylös tai alas sekä syyt ja kommentti, jos lisäät ne) – valmentajan kehittämiseksi. Kysymys ja vastaus liitetään mukaan vain, jos kytket itse päälle valinnan ”Liitä kysymys ja vastaus”; kirjauksiasi ja kuviasi ei liitetä koskaan.
• Tilauksesi: App Storen tapahtumatunniste, tuote ja paketti, onko tilaus kuukausi- vai vuositilaus, onko kyseessä kokeilujakso, päättymispäivä, onko automaattinen uusiminen päällä ja onko tilaus hyvitetty – jotta maksamasi paketti toimii. Maksutietojasi emme näe koskaan: maksun hoitaa Apple.
• Käyttötapahtumat: käyttöönoton loppuun vieminen, ensimmäinen kirjaus, Paketit-näkymän avaaminen, ostot, täyttyneet rajat, jaetut kortit, tuonnit ja vaiheet Ohjauksessa (avain jaettu, ehdotuksesta päätetty) – jotta näemme, mikä sovelluksessa toimii. Ei koskaan päiväkirjasi sisältöä. Sovellus lähettää ne vain omalle palvelimellemme, ei koskaan kolmansille osapuolille; niitä säilytetään 180 päivää. Kun synkronointi on pois päältä, tapahtumia ei kirjata eikä lähetetä.
• Kutsut: jos tulit kutsulinkin kautta tai syötit kutsukoodin, muistamme, kenen koodi se oli ja milloin – jotta Pro-päivät voidaan antaa teille molemmille.
• Ohjaus, jos käytät sitä: valitsemasi nimi tai lempinimi ja valinnainen profiilikuva; pääsyavaimet ja se, mitä kukin niistä avaa; kommentit, muutosehdotukset ja historia (kuka muutti mitä ja milloin asiantuntijasi katsoi tietojasi). Asiantuntija näkee vain osiot, jotka avaat – tekoälyvalmentajan kansion vain, jos avaat senkin – ja vain niin kauan kuin käyttöoikeus on voimassa; hänen puhelimessaan tietosi pidetään vain sovelluksen muistissa, eivätkä ne koskaan sekoitu hänen omiinsa. Keho- ja ruokakuvia ei jaeta koskaan. Päättää-tasolla muutokset ruokalistaasi, ravintolisiisi, tavoitteisiisi, veteen ja paastoon tulevat voimaan ilman vahvistustasi: näet jokaisen ja voit perua sen milloin vain. Kun Neuvoo- tai Päättää-tason asiantuntija napauttaa ”Tekoälyluonnos”, hänen sovelluksensa lähettää palvelimemme kautta tekoälyn palveluntarjoajalle sen osan tiedoistasi, joka on hänelle avattu: profiilisi ja tavoitteesi, ruokavaliorajoitukset, kaksi viime viikkoa lukuina ja tavalliset ruokasi, painotrendisi, ruokalistan ja ravintolisät – ilman nimeäsi tai mitään tunnistetta.
• IP-osoitettasi käytetään vain rajoittamaan sitä, kuinka monta tiliä voidaan luoda ja kuinka monta pääsyavainta ja kutsukoodia kokeilla yhdestä osoitteesta tunnissa. Sitä pidetään vain palvelimen muistissa, eikä sitä koskaan kirjoiteta tietokantaan. Myös Cloudflare, jonka verkon kautta yhteys kulkee, näkee sen (ks. alla).

Tekoäly

• Mitä tekoälylle menee. Kuvat aterioista, ravintoloiden menuista ja ravintoarvomerkinnöistä, sanotut tai kirjoitetut ateriat, reseptit (kuva, teksti tai linkitetyn sivun teksti) ja kysymykset valmentajalle kulkevat palvelimemme kautta mallin tarjoajalle – OpenAI (Yhdysvallat) tai DeepSeek (Kiina). Jos toinen palveluntarjoaja ei vastaa, toinen ottaa saman pyynnön hoitaakseen, jotta vastauksesi ei katoa. Ultimate-valmentaja vastaa DeepSeekillä: jos näytät sille kuvan, yksi DeepSeekin malli kuvailee kuvan ja toinen vastaa kuvauksen perusteella. Vain jos DeepSeek ei vastaa, OpenAI vastaa sen sijaan. Kun poistut keskustelusta, tavallinen malli (OpenAI tai DeepSeek, kuten yllä) tiivistää sen ja päivittää Ultimate-valmentajan kansion.
• Verkko. Kun Open Food Facts ei tunne viivakoodia tai haet ravintola-annosta nimellä, viivakoodi tai nimi kulkee palvelimemme kautta DeepSeekin verkkohakuun, ja DeepSeekin malli lukee tuloksista tuotteen ravintoarvot. Löydös tallennetaan palvelimellemme yhteiseksi luettelomerkinnäksi – tuote ja sen ravintoarvot ilman mitään yhteyttä sinuun tai tiliisi – jotta seuraava sen skannaava saa sen heti. Reseptilinkki, jota puhelin ei saanut auki, tai nimellä haettu resepti menee samalla tavalla DeepSeekin sivunlukijalle. Kun Ultimate-valmentaja hakee lähteitä, DeepSeekin haku saa valmentajan hakulausekkeen ja kysymyksesi. Päiväkirjasi, nimesi ja tunnisteesi eivät ole koskaan osa verkkohakua.
• Ääni. Applen puheentunnistus muuttaa puheesi tekstiksi – iPhonessa, Apple Watchissa tai Sirissä; tapahtuuko se laitteella vai Applen palvelimilla, sen päättää järjestelmä. Palvelimellemme tulee vain teksti: emme koskaan saa äänitallennetta.
• Apple Intelligence. iOS 26:ssa, kun iPhonessa on Apple Intelligence päällä ja sovelluksen kieli on englanti, saksa, espanja, ranska, italia tai portugali (Brasilia) – tai iOS 26.1:stä alkaen myös hollanti, norja, ruotsi tai turkki – sanottu tai kirjoitettu ateria ymmärretään itse iPhonessa, ja teksti jää sinne. Vain jos laitteen malli ei saa siitä selvää, teksti menee palvelimellemme kuten yllä.
• Mitä valmentaja näkee. Yhteenvedon kirjauksistasi: profiilisi ja tavoitteesi, ruokavaliorajoitukset, päivän ruoat ja viime päivät lukuina, viikon ruokalistan, painon ja mitat, veden, paaston, vitamiinit ja ravintolisät sekä – jos Apple Terveys on yhdistetty – askeleet ja aktiiviset kalorit. Lisäksi jokaisen päiväkirjan päivän, jonka se hakee vastatakseen sinulle, sen, mitä se muistaa sinusta (”Mitä muistan”), kuvat, jotka näytät sille, ja Ultimate-valmentajalla sen kansion. Viikon lautaskatsausta varten tekoäly saa viikon lautaskuvat – enintään yhden päivässä – ja viikon luvut.
• Sovellus ei lisää pyyntöön nimeä eikä yhteystietoja; sen, mitä itse kirjoitat keskusteluun, se lähettää sellaisenaan. Palveluntarjoaja käsittelee pyynnön omien ehtojensa mukaan; tietosuoja näissä maissa voi olla heikompi kuin EU:ssa.

Mitä emme tee

• Emme näytä mainoksia emmekä upota sovellukseen mainosseurantaa tai kolmansien osapuolten analytiikkaa, joka seuraisi, mitä teet sovelluksessa.
• Emme myy tietojasi, emme profiloi sinua emmekä tee automatisoituja päätöksiä, joilla on oikeusvaikutuksia.
• Jaamme tietoja vain silloin, kun käyttämäsi toiminto ei toimi ilman niitä: tekoälyn palveluntarjoajalle pyyntöjäsi ja kutsumasi asiantuntijan tekoälyluonnoksia varten; Applelle maksuja ja puheentunnistusta varten; Ohjaukseen kutsumallesi asiantuntijalle – vain sen, minkä avaat; sekä Cloudflarelle, jonka verkon kautta kulkee kaikki liikenne sivustollemme ja palvelimellemme ja joka näkee IP‑osoitteet.
• Muutaman asian puhelin tekee suoraan, ilman palvelintamme. Kun haet tuotetta viivakoodilla tai nimellä, puhelin lähettää haun suoraan Open Food Facts -tietokantaan, joka näkee haun ja IP‑osoitteesi mutta ei tiliäsi; vain viivakoodi, jota se ei tunne, jatkaa palvelimemme kautta verkkohakuun (ks. ”Tekoäly”). Reseptilinkin puhelin avaa itse, kuten selain – palvelimemme lukee sivun vain, jos puhelin ei pysty – ja se lataa ”Laajennetun laitemallin” Hugging Facesta, jos päätät asentaa sen.
• Huomatakseen ruoan kuva-alassa automaattista kuvausta varten ja tunnistaakseen kuvat ”Laitteella”-tilassa puhelin käyttää Googlen ML Kit -mallia. Se ei lähetä kuvia minnekään, mutta se lähettää Googlelle teknisiä tilastoja omasta toiminnastaan: laitemallin ja järjestelmäversion, sovelluksen version, asennustunnisteen sekä nopeutensa ja virheensä.

Kuinka kauan tietoja säilytetään

Varmuuskopio ja tili säilyvät niin kauan kuin käytät sovellusta. Tekoälypyyntöjen loki jää tilin historiaan – sitä tarvitaan rajoihin ja omaan kirjanpitoomme. Käyttötapahtumia säilytetään 180 päivää. Päättynyt Ohjaus säilyy asiakkaan historiassa 90 päivää, minkä jälkeen se poistetaan. Kerran päivässä tietokanta kopioidaan tilannevedokseksi samalle palvelimelle; yli kaksi viikkoa vanhat vedokset poistetaan, joten poistetut tiedot katoavat niistäkin tässä ajassa.

Miten poistat tiedot

• Kytke synkronointi pois (Profiili → Asetukset → Tiedot → Yksityisyys ja tiedot) – palvelin lakkaa vastaanottamasta uusia tietoja, ja sovellus lakkaa lähettämästä käyttötapahtumia. Tekoäly toimii kuten ennenkin.
• Poista tietoni palvelimelta – koko palvelimen varmuuskopio (päiväkirja, paino, asetukset ja kaikki muu synkronoitu), arviosi valmentajan vastauksista ja kaikki Ohjaus-tietosi (avaimet, yhteydet keskusteluineen ja historioineen, nimesi ja kuvasi) poistetaan kerralla, ja synkronointi kytkeytyy pois. Yhteydet, joissa sinä olet asiantuntija, päätetään; viestisi jäävät asiakkaan historiaan. Tili, paketti ja tekoälyloki säilyvät, joten sovellus ja tilaus toimivat edelleen; kaikki puhelimessa pysyy ennallaan.
• Poista kaikki – sama palvelimella ja lisäksi kaikki tässä puhelimessa: päiväkirja, paino, suunnitelma, asetukset, edistymiskuvat, lautaskuvat ja valmentajalle näyttämäsi kuvat. Tilauksesi säilyy, ja sovellus aloittaa puhtaalta pöydältä.
• Varmuuskopio tiedostoon – samassa paikassa, jos haluat ottaa tietosi mukaasi.
• Valmentajan muisti – minkä tahansa faktan kohdassa ”Mitä muistan” ja minkä tahansa merkinnän Ultimate-valmentajan kansiossa voi muuttaa tai poistaa suoraan sovelluksessa.
• Tilin poistaminen kokonaan – pyynnöstä: kirjoita meille, niin poistamme tilin laitesormenjälkineen, varmuuskopion, valmentaja-arviosi, Ohjauksen, käyttötapahtumat, kutsut ja tilaustiedot. Vain kaksi asiaa jää jäljelle ilman yhteyttä mihinkään tiliin: tekoälylokin rivit nimettöminä kustannuslukuina ja Applen ilmoitukset tilausmuutoksista.
• Tilauksen perut iPhonessa tai iPadissa: Asetukset → oma nimesi → Tilaukset. Tilin poistaminen ei peru sitä.

Oikeutesi

Käsittelemme näitä tietoja täyttääksemme kanssasi tehdyn sopimuksen (jotta synkronointi ja pakettisi rajat toimivat) sekä oikeutetun etumme perusteella, joka on palvelun pitäminen toiminnassa ja suojassa väärinkäytöksiltä. Jos olet EU:ssa, ETA-alueella tai Yhdistyneessä kuningaskunnassa, sinulla on oikeus saada pääsy tietoihisi, oikaista ja poistaa ne, siirtää ne järjestelmästä toiseen ja vastustaa niiden käsittelyä, ja voit tehdä valituksen tietosuojaviranomaiselle. Useimmat näistä ovat painikkeita sovelluksessa (yllä); loput hoidamme pyynnöstä. Apple Terveyden, kameran, mikrofonin ja puheentunnistuksen käyttöoikeudet voit perua milloin tahansa iOS:n asetuksissa ja Terveys-sovelluksessa.