Pravila privatnosti

Što ostaje na tvom mobitelu

Aplikacija čuva tvoj dnevnik, težinu, plan, mjere, fotografije napretka i postavke u vlastitoj pohrani na mobitelu. Fotografije napretka nikamo ne šalje i one nisu dio sigurnosne kopije na našem serveru. Male fotografije tanjura koje aplikacija čuva za tjedni pregled i fotografije koje pokažeš treneru također ostaju na mobitelu; napuštaju ga samo kao dio zahtjeva AI‑ju (vidi niže). U načinu prepoznavanja „Na uređaju“ fotografija uopće ne napušta mobitel. (Ako je u iOS-u uključeno sigurnosno kopiranje na iCloud, Appleova sigurnosna kopija iPhonea uključuje i datoteke 17 Fita, kao i kod svake aplikacije.)

Iz Apple Zdravlja 17 Fit čita samo korake, aktivne kalorije i težinu – kako bi izračunao tvoju potrošnju energije prema tome koliko se stvarno krećeš – i ništa ne zapisuje natrag. Taj pristup odobravaš i povlačiš ti: aplikacija Zdravlje → tvoj profil → Aplikacije → 17 Fit. Apple Watch nema vlastitu vezu s našim serverom: sat razmjenjuje podatke samo s tvojim iPhoneom. Bluetooth kuhinjska vaga spaja se izravno s mobitelom.

Što se čuva na našem serveru

• Anonimni račun: nasumični identifikator; otisak (HMAC) identifikatora tvog uređaja, kako bi ti se podaci vratili nakon ponovne instalacije; platforma i verzija sustava; te datumi kad je račun stvoren i kad je zadnji put korišten. Nikad ne tražimo e‑mail ni broj telefona, a ime tražimo samo u Vođenju – dovoljan je bilo kakav nadimak. Pristupni token čuva se samo kao hash.
• Sigurnosna kopija podataka aplikacije, dok god je sinkronizacija uključena: dnevnik, tvoja težina (uključujući vaganja učitana iz Apple Zdravlja), mjere, plan i jelovnik, voda, post, dodaci prehrani, postavke, tvoj razgovor s trenerom, ono što trener pamti o tebi, dosje Ultimate trenera te koraci i aktivne kalorije učitani iz Apple Zdravlja. Fotografije u nju ne ulaze. Možeš je isključiti i izbrisati sa servera u Profil → Postavke → Podaci → Privatnost i podaci.
• Evidencija zahtjeva AI‑ju: vrijeme, vrsta zahtjeva, model, broj tokena, trošak, trajanje i – ako zahtjev nije uspio – tekst pogreške pružatelja; za AI nacrt stručnjaka još i veza u Vođenju za koju je izrađen. Iz nje se računaju dnevna ograničenja paketa. Fotografije, tekst zahtjeva i sami odgovori ne pohranjuju se.
• Tvoje ocjene trenerovih odgovora (palac gore ili dolje te razlozi i komentar ako ih dodaš) – kako bi trener postao bolji. Pitanje i odgovor prilažu se samo ako ti uključiš „Priloži pitanje i odgovor“; tvoji unosi i fotografije – nikad.
• Tvoja pretplata: identifikator transakcije u App Storeu, proizvod i paket, je li mjesečna ili godišnja, je li riječ o probnom razdoblju, datum isteka, je li uključena automatska obnova i je li novac vraćen – kako bi plaćeni paket radio. Tvoje podatke o plaćanju nikad ne vidimo: plaćanje preuzima Apple.
• Događaji korištenja: završetak početnog postavljanja, prvi unos, otvaranje zaslona Paketi, kupnje, dosegnuta ograničenja, podijeljene kartice, uvozi i koraci u Vođenju (podijeljen ključ, odluka o prijedlogu) – kako bismo vidjeli što u aplikaciji funkcionira. Nikad sadržaj tvog dnevnika. Aplikacija ih šalje samo na naš server, nikad trećim stranama; čuvaju se 180 dana. Dok je sinkronizacija isključena, ništa se od toga ne bilježi niti šalje.
• Pozivnice: ako dođeš preko poveznice pozivnice ili uneseš kod pozivnice, pamtimo čiji je to kod i kada – kako bismo dane Pro paketa pripisali i tebi i osobi koja te pozvala.
• Vođenje, ako ga koristiš: ime ili nadimak koji odabereš i neobavezna profilna fotografija; pristupni ključevi i ono što svaki od njih otvara; komentari, predložene promjene i zapisnik pristupa (tko je što promijenio i kad je tvoj stručnjak pregledao tvoje podatke). Stručnjak vidi samo odjeljke koje otvoriš – dosje AI trenera samo ako i njega otvoriš – i samo dok pristup traje; na mobitelu stručnjaka tvoji su podaci samo u memoriji aplikacije i nikad se ne miješaju s njegovim vlastitim podacima. Fotografije tijela i obroka nikad se ne dijele. Na razini „Vodi“ promjene tvog jelovnika, dodataka prehrani, ciljeva, vode i posta primjenjuju se bez tvoje potvrde: vidiš svaku od njih i možeš je poništiti bilo kad. Kad stručnjak na razini „Savjetuje“ ili „Vodi“ dodirne „AI nacrt“, njegova aplikacija preko našeg servera šalje pružatelju AI‑ja onaj dio tvojih podataka koji mu je otvoren: tvoj profil i ciljeve, prehrambena ograničenja, zadnja dva tjedna u brojkama i tvoje uobičajene namirnice, trend težine, jelovnik i dodatke prehrani – bez tvog imena i bez ikakvog identifikatora.
• Tvoja IP adresa koristi se samo kako bi se ograničilo koliko se računa može stvoriti, te koliko se pristupnih ključeva i kodova pozivnica može isprobati, s jedne adrese u jednom satu. Drži se samo u memoriji servera i nikad se ne zapisuje u bazu podataka. Vidi je i Cloudflare, čija mreža prenosi vezu (vidi niže).

AI

• Što ide AI‑ju. Fotografije obroka, jelovnika restorana i deklaracija, obroci koje izgovoriš ili upišeš, recepti (fotografija, tekst ili tekst stranice s poveznice) i pitanja treneru idu preko našeg servera pružatelju modela – OpenAI (SAD) ili DeepSeek (Kina). Ako jedan pružatelj zakaže, isti zahtjev preuzima drugi, pa se tvoj odgovor ne gubi. Ultimate trener odgovara na DeepSeeku: ako mu pokažeš fotografiju, jedan DeepSeekov model opisuje fotografiju, a drugi odgovara na temelju tog opisa. Samo ako DeepSeek zakaže, umjesto njega odgovara OpenAI. Kad izađeš iz razgovora, svakodnevni model (OpenAI ili DeepSeek, kao gore) sažme ga i ažurira dosje Ultimate trenera.
• Internet. Kad Open Food Facts ne poznaje barkod ili potražiš jelo iz restorana po nazivu, barkod ili naziv ide preko našeg servera u DeepSeekovo internetsko pretraživanje, a DeepSeekov model čita rezultate kako bi utvrdio nutritivne vrijednosti proizvoda. Ono što pronađe čuva se na našem serveru kao zajednički unos u katalogu – proizvod i njegove nutritivne vrijednosti, bez ikakve veze s tobom ili tvojim računom – kako bi ga sljedeća osoba koja ga skenira odmah dobila. Poveznica na recept koju mobitel nije uspio otvoriti, ili recept koji tražiš po nazivu, na isti način ide DeepSeekovu čitaču stranica. Kad Ultimate trener traži izvore, DeepSeekovo pretraživanje prima trenerov upit i tvoje pitanje. Tvoj dnevnik, tvoje ime i tvoji identifikatori nikad nisu dio internetskog pretraživanja.
• Glas. Appleovo prepoznavanje govora pretvara ono što izgovoriš u tekst – na iPhoneu, na Apple Watchu ili u Siri; hoće li se to dogoditi na uređaju ili na Appleovim serverima, odlučuje sustav. Na naš server stiže samo tekst: snimku tvog glasa nikad ne primamo.
• Apple Intelligence. S iOS-om 26, na iPhoneu s uključenom značajkom Apple Intelligence i kad je aplikacija postavljena na engleski, njemački, španjolski, francuski, talijanski ili portugalski (Brazil) – a od iOS-a 26.1 i na nizozemski, norveški, švedski ili turski – obrok koji izgovoriš ili upišeš razumije se na samom iPhoneu i tekst ostaje ondje. Tek ako ga model na uređaju ne uspije razumjeti, tekst ide na naš server, kao gore.
• Što trener vidi. Sažetak tvojih unosa: tvoj profil i ciljeve, prehrambena ograničenja, današnje namirnice i posljednje dane u brojkama, tjedni jelovnik, težinu i mjere, vodu, post, vitamine i dodatke prehrani te – ako je Apple Zdravlje povezano – korake i aktivne kalorije. Uz to svaki dan dnevnika koji pregleda kako bi ti odgovorio, ono što pamti o tebi („Što pamtim“), fotografije koje mu pokažeš i, kod Ultimate trenera, njegov dosje. Za tjedni pregled tvojih tanjura AI prima fotografije tanjura iz tog tjedna – najviše jednu dnevno – i brojke za cijeli tjedan.
• Aplikacija zahtjevu ne dodaje ime ni kontakt podatke; ono što ti napišeš u razgovoru šalje se onako kako je napisano. Pružatelj obrađuje zahtjev prema vlastitim uvjetima; zaštita podataka u tim zemljama može biti slabija nego u EU‑u.

Što ne radimo

• Ne prikazujemo oglase i ne ugrađujemo reklamne alate za praćenje ni analitiku trećih strana koja prati što radiš u aplikaciji.
• Ne prodajemo tvoje podatke, ne izrađujemo tvoj profil i ne donosimo automatizirane odluke s pravnim posljedicama.
• Podatke dijelimo samo kad funkcija koju koristiš bez njih ne može raditi: s pružateljem AI‑ja, za tvoje zahtjeve i za AI nacrte stručnjaka kojeg pozoveš; s Appleom, za plaćanja i prepoznavanje govora; sa stručnjakom kojeg pozoveš u Vođenje – samo ono što otvoriš; te s Cloudflareom, mrežom koja prenosi sav promet prema našoj stranici i serveru i koja vidi IP adrese.
• Neke stvari mobitel radi izravno, bez našeg servera. Kad tražiš proizvod po barkodu ili nazivu, mobitel šalje upit izravno u bazu Open Food Facts, koja vidi upit i tvoju IP adresu, ali ne i tvoj račun; samo barkod koji ona ne poznaje ide dalje preko našeg servera u internetsko pretraživanje (vidi „AI“). Mobitel sam otvara poveznicu na recept, kao što bi to učinio preglednik – naš server čita stranicu samo ako mobitel ne uspije – i preuzima „Prošireni model na uređaju“ s Hugging Facea ako ga odlučiš instalirati.
• Kako bi prepoznao hranu u kadru za automatsko fotografiranje i prepoznavao fotografije u načinu „Na uređaju“, mobitel pokreće Googleov model ML Kit. On nikamo ne šalje slike, ali Googleu šalje tehničku statistiku o vlastitom radu: model uređaja i verziju sustava, verziju aplikacije, identifikator instalacije te svoju brzinu i pogreške.

Koliko dugo se čuva

Sigurnosna kopija i račun postoje dok god koristiš aplikaciju. Evidencija zahtjeva AI‑ju ostaje u povijesti računa – potrebna je za ograničenja i za naše interno računovodstvo. Događaji korištenja čuvaju se 180 dana. Završeno Vođenje ostaje u klijentovoj povijesti 90 dana, a zatim se briše. Jednom dnevno baza podataka kopira se u snimku na istom serveru; snimke starije od dva tjedna brišu se, pa izbrisani podaci u tom roku nestaju i iz njih.

Kako izbrisati podatke

• Isključi sinkronizaciju (Profil → Postavke → Podaci → Privatnost i podaci) – server prestaje primati nove podatke, a aplikacija prestaje slati događaje korištenja. AI radi kao i prije.
• Izbriši moje podatke sa servera – cijela sigurnosna kopija na serveru (dnevnik, težina, postavke i sve ostalo što se sinkroniziralo), tvoje ocjene trenerovih odgovora i cijelo tvoje Vođenje (ključevi, veze s razgovorima i zapisnicima, tvoje ime i fotografija) brišu se odjednom, a sinkronizacija se isključuje. Veze u kojima si ti stručnjak završavaju; tvoje poruke ostaju u klijentovoj povijesti. Račun, paket i evidencija AI‑ja ostaju, pa aplikacija i pretplata i dalje rade; sve na mobitelu ostaje kakvo jest.
• Izbriši sve – isto na serveru, plus sve na ovom mobitelu: dnevnik, težina, plan, postavke, fotografije napretka, fotografije tanjura i fotografije pokazane treneru. Pretplata ostaje, a aplikacija kreće ispočetka.
• Sigurnosna kopija u datoteku – na istom mjestu, ako želiš ponijeti svoje podatke sa sobom.
• Trenerova memorija – svaku činjenicu u „Što pamtim“ i svaku bilješku u dosjeu Ultimate trenera možeš promijeniti ili ukloniti izravno u aplikaciji.
• Potpuno brisanje računa – na zahtjev: piši nam i izbrisat ćemo račun zajedno s otiskom uređaja, sigurnosnom kopijom, tvojim ocjenama trenera, Vođenjem, događajima korištenja, pozivnicama i zapisom o pretplati. Ostaju samo dvije stvari, bez veze s ijednim računom: retci evidencije AI‑ja, kao anonimni podaci o troškovima, i Appleove obavijesti o promjenama pretplate.
• Pretplata se otkazuje na iPhoneu ili iPadu: Postavke → tvoje ime → Pretplate. Brisanje računa ne otkazuje je.

Tvoja prava

Ove podatke obrađujemo radi izvršenja ugovora s tobom (kako bi sinkronizacija i ograničenja tvog paketa radili) i na temelju našeg legitimnog interesa da usluga radi i bude zaštićena od zlouporabe. Ako se nalaziš u EU‑u, EGP-u ili Ujedinjenoj Kraljevini, imaš pravo na pristup, ispravak, brisanje, prenosivost podataka i prigovor te možeš podnijeti pritužbu svom nadzornom tijelu za zaštitu podataka. Većina toga su gumbi u aplikaciji (gore); ostalo radimo na zahtjev. Pristup Apple Zdravlju, kameri, mikrofonu i prepoznavanju govora možeš povući bilo kad u Postavkama iOS-a i u aplikaciji Zdravlje.