Privacy in Caloplate

Wat er met je maaltijdfoto gebeurt

Als je een maaltijd fotografeert, wordt de afbeelding verkleind en via de BUILDFrame-dienst naar een AI-dienstverlener (Google, beeldmodel Gemini) verzonden; daar evalueert een beeldmodel wat er op het bord ligt. Het resultaat komt via dezelfde weg terug naar je telefoon.

Daarbij zijn dienstverleners betrokken die in onze opdracht werken: een hostingaanbieder (Netlify) die de BUILDFrame-dienst beheert, de foto ontvangt en doorgeeft, een tussenpersoon voor AI-aanvragen (OpenRouter; beide gevestigd in de VS) en de exploitant van het beeldmodel (Google). Daarbij kan de foto servers in de VS passeren. Deze doorgifte is beveiligd: via het EU-U.S. Data Privacy Framework of via de modelcontractbepalingen van de Europese Commissie. Wie de ontvangers in detail wil kennen en een kopie van de waarborgen wil ontvangen, schrijft naar info@buildframe.de.

De foto verlaat daarbij je apparaat. Wij beweren niets anders.

Met de afbeelding gaat niets mee wat jou identificeert: geen naam, geen e-mailadres, geen apparaat-ID, geen advertentie-ID, geen locatie. De opdracht bestaat uit de afbeelding en verder niets.

Het beeldmodel zelf draait in datacenters in de Europese Unie. Deze route ligt vast: valt hij uit, dan krijg je een foutmelding — er is geen stille uitwijk naar een ander land.

Wat lokaal blijft

Caloplate leest streepjescodes en voedingstabellen op het apparaat — met Apples Vision-framework. In deze twee gevallen verlaat geen beeld je telefoon, of je de analyse nu hebt toegestaan of niet. Bij een streepjescode gaan de gelezen cijfers echter wel naar buiten; zie hieronder »Wat er gebeurt met de streepjescode en de productzoekopdracht«.

Je naam (als je die invult), je dagboek, je lichaamsgegevens, je plan, je gewichtsverloop, je voortgangsfoto's, je profielfoto en je instellingen staan uitsluitend in het geheugen van de app op je apparaat. Caloplate verstuurt ze niet. Zoals de gegevens van elke app kunnen ze deel uitmaken van een back-up van je apparaat (iCloud of computer); dat beheer je bij Apple.

Van elke maaltijd die je fotografeert, bewaart Caloplate een verkleinde kopie van de foto op je apparaat, zodat je ze in “Vandaag” en in de historie herkent. Deze kopie wordt niet verzonden en samen met de maaltijd verwijderd.

Uit Apple Gezondheid leest Caloplate alleen wat je toestaat (zie »Gezondheid«). Deze waarden blijven op het apparaat.

Gebruik je de widget, dan krijgt die de dagstand (calorieën en water) via Apples mechanismen op hetzelfde apparaat. Dat loopt niet via ons.

Gebruik je de Apple Watch, dan toont de horloge-app de dagstand (calorieën, macro’s, water, trainingen) en stuurt het water dat je drinkt en je trainingen naar je iPhone. Dat loopt rechtstreeks tussen horloge en iPhone via Apples verbinding, niet via ons. Als je het toestaat, meet het horloge tijdens een training je hartslag en toont die aan jou – de hartslag wordt niet opgeslagen, niet naar de iPhone of naar ons gestuurd en niet naar Apple Gezondheid geschreven. Het horloge houdt geen dagboek bij; het bewaart alleen de laatst ontvangen dagstand en de training die nu loopt.

Waar nodig vertaalt Caloplate namen van voedingsmiddelen met Apples vertaalfunctie op het apparaat en onthoudt de resultaten op het apparaat.

Een korte technische sporenlijst van je laatste analyses (tijden, soorten fouten, laatst gelezen streepjescodes) blijft eveneens op het apparaat en wordt niet verstuurd.

Het gratis tegoed — drie foto-analyses, vijf dagen — wordt op je apparaat onthouden in de sleutelhanger: twee tellers en twee tijdstippen (je eerste start en de laatst geziene tijd), zonder naam, zonder id en zonder server. Deze markering blijft ook staan nadat je de app verwijdert en na »Alle gegevens verwijderen«, zodat het gratis tegoed niet telkens opnieuw begint. Ze gaat niet naar een ander apparaat en wordt niet verzonden.

Hoe lang de afbeelding wordt opgeslagen

De BUILDFrame-dienst slaat je foto niet op. Hij neemt de foto in ontvangst, geeft hem door aan de analyse en stuurt het resultaat terug; daarna is de foto weg.

Elke aanvraag stelt twee voorwaarden aan de aanbieders: je gegevens mogen niet worden gebruikt om modellen te trainen, en ze mogen niet worden opgeslagen (zero data retention). Kan een aanbieder dat niet toezeggen, dan wordt de aanvraag geweigerd in plaats van stilzwijgend versoepeld.

De privacyvoorwaarden van de betrokken dienstverleners gelden naast deze tekst.

Wat we bijhouden voor kostenbeheersing

Per analyse wordt vastgelegd: tijdstip, gebruikt model, aantal tokens, afbeeldingsgrootte in bytes, duur en bij een fout de aard ervan. Dit dient uitsluitend om kosten en fouten in de gaten te houden. Deze gegevens staan in de logboeken van onze hostingaanbieder en worden daar automatisch na hoogstens 7 dagen verwijderd.

Niet bijgehouden worden: de afbeelding, het resultaat, herkende voedingsmiddelen en je afzenderadres. Je IP-adres wordt alleen kortstondig en in gehashte vorm gebruikt om het aantal verzoeken te beperken; het wordt niet opgeslagen en niet doorgegeven.

Elke aanvraag draagt bovendien een kenmerk van de appversie dat voor alle installaties gelijk is. Het laat alleen zien dat de aanvraag van de echte Caloplate-app komt en zegt niets over jou.

Wat er gebeurt met de streepjescode en de productzoekopdracht

Als je een barcode scant, leest Caloplate de cijfers op je toestel — en vraagt daarmee aan de openbare productdatabank Open Food Facts wat over die code bekend is. De cijfers verlaten daarvoor je telefoon.

Er gaat een kenmerk mee dat zegt dat de aanvraag van Caloplate komt. Het zegt niets over wie jij bent.

De foto van de barcode blijft op het toestel. Open Food Facts is een non-profitproject in Frankrijk, dus binnen de EU; hoe lang het aanvragen bewaart, bepaalt Open Food Facts en niet wij.

Wil je geen cijfers versturen, voer de voedingswaarden dan met de hand in — dat gaat zonder enige overdracht.

Typ je in de zoekfunctie een term van minstens drie tekens, dan vraagt Caloplate bovendien bij Open Food Facts naar passende merkproducten. Ook daarvoor verlaat de zoekterm je telefoon, eveneens alleen met het kenmerk dat de aanvraag van Caloplate komt. Wil je geen zoektermen versturen, kies dan voedingsmiddelen uit de lijsten of vul voedingswaarden met de hand in.

Als je Caloplate Pro koopt

Een abonnement loopt volledig via Apple. Caloplate ziet geen betaalgegevens, geen kaartnummer en geen factuuradres — die krijgt Apple, wij niet.

Of je abonnement actief is, vraagt de app aan Apple — bij het starten en wanneer je het opvraagt. Wij slaan daarover niets op een server op.

Caloplate maakt geen eigen aankoopbewijs aan. Of een abonnement actief is, beantwoordt alleen Apple — uit een ondertekend bewijs dat het systeem op je apparaat beheert. Caloplate leest het en onthoudt op het apparaat alleen het laatste resultaat (actief of niet, en tot wanneer), zodat de app bij het starten niet op Apple hoeft te wachten.

Als je dat niet wilt

Je kunt de analyse op elk moment intrekken. De intrekking werkt direct: daarna verlaat geen foto je apparaat meer.

Caloplate blijft daarna bruikbaar: barcode, voedingswaardetabel en alles wat je met de hand invoert, blijven werken.

Wat Caloplate niet doet

Geen advertentienetwerk. Geen tracking over apps heen. Geen doorgifte van je gegevens aan derden voor hun eigen doeleinden en geen verkoop. De overdrachten die in deze tekst staan (foto naar de analyse, cijfers van de streepjescode en zoektermen naar Open Food Facts) zijn uitsluitend bedoeld voor wat je zelf in de app in gang zet. Geen profilering.

Gezondheid

Caloplate schat. Elk getal is een schatting. Caloplate is geen medisch hulpmiddel en vervangt geen medisch of voedingsmedisch advies.

Apple Gezondheid: alleen als je dat toestaat, leest Caloplate stappen, actieve energie en de tijdsduur van je trainingen (wanneer ze liepen, niet welke oefeningen) — om je beweging te tonen, op wens je dagdoel te verhogen en een met de hand ingevoerde sport niet dubbel te tellen. Bij het instellen leest Caloplate op wens ook je lengte, gewicht, geboortejaar en geslacht om je gegevens alvast in te vullen. Caloplate schrijft niets naar Apple Gezondheid. Deze waarden blijven op je apparaat en worden niet verstuurd. Wat Caloplate mag lezen, bepaal je op elk moment in de iOS-instellingen. Op het horloge leest Caloplate tijdens een training je hartslag als je dat toestaat – alleen om te tonen, zonder op te slaan.

Gezondheidsgegevens zijn volgens art. 9 AVG bijzonder beschermd. Caloplate verwerkt ze alleen op basis van je toestemming en alleen op je apparaat.

Wie verantwoordelijk is

Verwerkingsverantwoordelijke voor je gegevens is Alessandro Gerola. Je bereikt ons op info@buildframe.de.

Het volledige adres en alle verdere aanbiedergegevens staan in het colofon.

Op welke grondslag

De fotoanalyse verwerken we op basis van je toestemming (art. 6 lid 1 sub a AVG). Je geeft die voordat de eerste foto het apparaat verlaat en je kunt haar altijd intrekken in de instellingen.

De streepjescodeopvraag, de productzoekopdracht en de afhandeling van een abonnement baseren we op de uitvoering van de overeenkomst met jou (art. 6 lid 1 sub b AVG).

De kostenbewaking en de markering van het gratis tegoed baseren we op ons gerechtvaardigd belang om de dienst te kunnen exploiteren en tegen misbruik te beschermen (art. 6 lid 1 sub f AVG).

Gegevens uit Apple Gezondheid verwerken we op basis van je toestemming (art. 6 lid 1 sub a en art. 9 lid 2 sub a AVG). Je geeft die in het systeemvenster van iOS en kunt hem daar op elk moment intrekken.

Jouw rechten

Je hebt recht op inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid en bezwaar.

Het meeste kun je zelf doen, zonder het ons te vragen: je dagboek, je lichaamsgegevens, je foto's en je verloop staan op je apparaat. Je verwijdert een maaltijd in de app; de foto gaat mee. Met »Alle gegevens verwijderen« in het profiel verwijder je alles wat Caloplate op het apparaat heeft opgeslagen — dagboek, lichaamsgegevens, foto's, profielfoto, back-ups en exports. Uitgezonderd zijn de taalkeuze, de laatst door Apple gemelde abonnementsstatus en de markering van het gratis tegoed. Verwijder je de app, dan gaat alles mee — behalve deze markering, die in de sleutelhanger blijft.

Voor de rest schrijf naar info@buildframe.de.

Je hebt ook het recht een klacht in te dienen bij een gegevensbeschermingsautoriteit.