Політика конфіденційності FatRadar

Редакція від 20 жовтня 2026 року. Тестова версія застосунку.

Хто ми

FatRadar — застосунок для обліку харчування, калорій і КБЖУ для iPhone і Android. Зараз це тестова версія, яку розробляє й обслуговує одна фізична особа — розробник застосунку (далі — «ми»). Перед публічним запуском буде створено юридичну особу; тоді цю політику буде оновлено.

Контакт з будь-яких питань щодо ваших даних: david.aaarh.com@gmail.com.

Які дані ми збираємо

• Акаунт. Вхід — лише через Apple або Google (через сервіс Firebase Authentication від Google). Ми отримуємо ідентифікатор акаунта і адресу електронної пошти, якщо сервіс входу її передав (Apple може передати приховану адресу). Пароля ми не бачимо і не зберігаємо. Також зберігаємо мову інтерфейсу, часовий пояс і час останнього звернення до сервера.
• Профіль — якщо ви його заповнили: стать, рік народження, зріст, вага, ціль і рівень активності. Потрібен, щоб розрахувати денну норму калорій.
• Щоденник: що і скільки ви з'їли, прийом їжі, дата, ваші нотатки, випита вода, заплановані й виконані тренування.
• Дані здоров'я — лише з вашого дозволу в Apple Health (iPhone) або Health Connect (Android). На наш сервер надходять тільки денні підсумки: кроки, активні калорії, калорії спокою, хвилини тренувань, вага, а також назви застосунків, з яких ці дані потрапили в Apple Health чи Health Connect. Окремих вимірів ми не отримуємо. Дозвіл можна відкликати в системних налаштуваннях телефона.
• Фото їжі — якщо ви розпізнаєте страву за фото. Сервер зменшує фото, прибирає з нього метадані (зокрема геолокацію), передає його DeepSeek для розпізнавання і не зберігає оригіналу. Зменшену копію без метаданих можемо зберігати до 30 днів лише для перевірки якості розпізнавання: якщо застосунок поставив вам питання «Можливо, ще …?» або ви дали окрему згоду на тестове порівняння моделей (див. «Сторонній постачальник хмарного розпізнавання мовлення» нижче). Після цього копія стирається автоматично, а при видаленні акаунта — одразу.
• Голос. Мовлення можна розпізнавати двома способами. За замовчуванням його розпізнає системний сервіс телефона (Apple або Google), і на сервер надходить лише текст. Якщо ви один раз погодилися на серверне розпізнавання голосу (згода одна на весь акаунт — для телефона й годинника; її можна відкликати в застосунку), а також для голосового запису з годинника (до 60 секунд), аудіозапис надходить на наш сервер і передається стороннєму постачальнику хмарного розпізнавання мовлення лише для перетворення на текст. Обробка може відбуватися за межами України, зокрема в США. Запис не зберігається на наших серверах: ми стираємо його одразу після відповіді, навіть якщо розпізнати не вдалося, незавершений запис стирається автоматично, і звук не потрапляє в журнали сервера; зберігається лише розпізнаний текст. Постачальник може тимчасово зберігати дані за своїми правилами безпеки до 30 днів. Перелік постачальників надаємо на запит.
• Текст опису страви (набраний чи розпізнаний з голосу) — для розпізнавання страв.
• Штрих-код зчитується на пристрої; на сервер надходять лише цифри коду.
• Технічні дані. Облік розпізнавань: час, вид вводу, кількість оброблених частин тексту (токенів), вартість і результат. Для голосу — ще й тривалість запису в секундах. Ці записи ведуться, щоб рахувати витрати на штучний інтелект і діяти в межах добових та місячних обмежень, які діють для кожного користувача окремо; вони не містять самого тексту, звуку чи фото (замість них — захищений відбиток). Журнали сервера не містять тіл запитів, вмісту щоденника і пошукових запитів. IP-адреса використовується в оперативній пам'яті для обмеження частоти запитів; сама адреса ніде не записується.
• Оцінки розпізнавання. Час від часу (раз на 5 карток з фото) застосунок питає «👍 / 👎» про якість розпізнавання; при 👎 можна вибрати причину з готового списку («не та страва», «не та вага», «чогось бракує», «інше») — вільного тексту немає. Зберігаємо вашу оцінку, причину, яке саме розпізнавання оцінено (модель і версію інструкцій) і лічильник фото-розпізнавань, щоб знати, коли питати. Власник сервісу бачить лише загальні числа (скільки 👍/👎 і з яких причин по днях і моделях), без ваших даних. (Текст — чернетка, до підтвердження власником.)
• Журнал безпеки. Коли сервер відхиляє підозрілий запит (перебір доступу, спроба вставити код, пошук службових файлів, перевищення лімітів), ми записуємо вид відмови, час, службову адресу запиту (без тексту запиту) і захищені відбитки IP-адреси та акаунта — необоротне перетворення із секретним ключем, з якого саму адресу чи акаунт не відновити. Ці відбитки — усе ще персональні дані (псевдонімізовані), тож обробляємо їх лише для захисту сервісу від зловживань і атак (тимчасове блокування джерела, сповіщення розробнику).
• Рецепт, яким ви поділилися. Якщо ви натиснули «Поділитися» на сторінці свого рецепта, ми створюємо посилання https://fatradar.com/r/…, за яким будь-хто, хто його отримав, бачить сам рецепт: назву, фото страви (якщо ви його додали), складники, калорії й БЖВ, вихід і етапи приготування. Вашого імені, пошти, фото профілю, ваги тіла, цілей, щоденника, дат записів, фото етикеток і текстів чату на цій сторінці немає. Сторінка не індексується пошуковими системами. Посилання працює, доки ви не натиснете «Закрити доступ» або не видалите рецепт чи акаунт — після цього воно перестає працювати одразу. Прев'ю, яке вже встиг показати месенджер, може залишитися в самому месенджері. У нашій базі саме посилання не зберігається відкрито — лише його захищений відбиток і зашифрована копія для вас.
• Список очікування «Скоро в App Store». На сторінці https://fatradar.com/soon можна залишити адресу пошти, щоб отримати один лист, коли FatRadar з'явиться в App Store чи Google Play. Адресу ми приймаємо лише з позначеною згодою і зберігаємо зашифрованою разом із часом і версією тексту згоди, мовою сторінки, платформою, про яку ви просили повідомити, і тим, звідки ви прийшли (зі сторінки рецепта чи напряму). Адресу ми використовуємо лише для цього одного листа: без розсилок, без реклами, без передачі третім особам. IP-адреса використовується лише в оперативній пам'яті для захисту від масових надсилань і ніде не записується. Сторінка не має лічильників, пікселів і сторонніх шрифтів.

Навіщо

• вести ваш щоденник, рахувати калорії, КБЖУ, денну норму і баланс «з'їдено — спалено»;
• розпізнавати страви з тексту, голосу, фото і штрих-коду;
• захищати сервіс від зловживань і збоїв (ліміти запитів, безпека).

Ми не продаємо дані, не показуємо реклами, не використовуємо дані здоров'я для реклами чи профілювання і не передаємо їх третім особам, крім обробників, названих нижче, і лише в названому обсязі.

Кому передаємо

• DeepSeek (сервіс штучного інтелекту компанії DeepSeek, Китай) — текст опису страви і фото їжі для розпізнавання. Разом з ними не передаються ваше ім'я, пошта чи ідентифікатор акаунта. DeepSeek обробляє ці дані за власними умовами.
• Apple і Google — вхід в акаунт (Sign in with Apple, вхід через Google, Firebase Authentication).
• Open Food Facts — відкрита база продуктів: лише цифри штрих-коду, щоб знайти продукт.
• Hetzner Online GmbH — оренда серверів у дата-центрах в Європейському Союзі, де зберігаються дані.
• Cloudflare — мережевий посередник, що захищає і доставляє трафік до нашого сервера; доставляє і сторінки fatradar.com, кешування цих сторінок вимкнено.
• Лист про публікацію для списку очікування надсилатиметься поштовим сервісом, який буде названо тут до відправлення листа.
• Anthropic (модель штучного інтелекту Claude, США) — перевірка якості розпізнавання: текст сказаного про страву (з голосу чи тексту) і зменшене фото страви з уточнювальним питанням («Можливо, ще …?») разом із назвою позиції та вашою відповіддю «так/ні». Разом з ними не передаються ваше ім'я, пошта, ідентифікатор акаунта чи метадані фото; телефони, адреси й імена в тексті перед відправленням замінюються на «[…]». Мета — лише знайти, де розпізнавання помиляється, і поліпшити його; у нас ці матеріали й висновки перевірки зберігаються до 30 днів. (Текст — чернетка, до підтвердження власником.) Anthropic не використовує ці дані для навчання своїх моделей. (До підтвердження власником.)
• Сторонній постачальник хмарного розпізнавання мовлення — перетворення голосу на текст для користувачів, які дали згоду на серверне розпізнавання, і для голосу з годинника: сервер передає звук і мову розпізнавання, а звук у себе стирає одразу після відповіді, навіть у разі помилки. Постачальник може тимчасово зберігати дані за своїми правилами безпеки до 30 днів і, за замовчуванням, не використовує їх для навчання моделей. Окремо, лише для учасників тестового порівняння моделей, які дали на це окрему згоду: той самий текст опису страви і те саме фото їжі, що йдуть до DeepSeek, паралельно надсилаються другій моделі, щоб порівняти, яка розпізнає точніше. Вам показується лише відповідь основної моделі; текст запиту, відповіді обох моделей і зменшена копія фото без метаданих зберігаються в нас до 30 днів лише для такого порівняння. Разом із даними не передаються ім'я, пошта чи ідентифікатор акаунта. Перелік постачальників надаємо на запит. (Текст про порівняння моделей — чернетка, відкрите рішення власника №1, до підтвердження.)

Скільки зберігаємо

• Щоденник, профіль, денні підсумки здоров'я, вода і тренування — поки існує ваш акаунт або доки ви їх не видалите.
• Непідтверджені чернетки розпізнавання (ви не натиснули «Додати») — видаляються автоматично через 7 днів без змін.
• Розпізнаний склад страви в обліку розпізнавань — стирається через 30 днів; лишається лише облік (час, токени, вартість).
• Видалені заплановані тренування — остаточно стираються через 30 днів.
• Оцінки розпізнавання і лічильник фото-розпізнавань — без окремого терміну, поки існує ваш акаунт (це сигнал якості моделі); оцінку можна зняти в застосунку, а при видаленні акаунта вони стираються одразу. (Текст — чернетка, до підтвердження власником.)
• Журнал безпеки (захищені відбитки IP-адреси й акаунта, вид і час відмови) — до 90 днів, для захисту від зловживань; потім стирається автоматично. Записи про тимчасові блокування — до 90 днів після їх завершення.
• Фото їжі — оригінал не зберігається; зменшена копія без метаданих може зберігатися лише у випадках, описаних у пункті «Фото їжі» вище, до 30 днів для перевірки якості розпізнавання. Потім стирається автоматично, а при видаленні акаунта — одразу. (Текст — чернетка, до підтвердження власником.)
• Учасники тестового порівняння моделей (окрема згода, див. «Сторонній постачальник хмарного розпізнавання мовлення» вище): текст запиту, відповіді обох моделей і зменшена копія фото (без метаданих) — до 30 днів, лише для порівняння якості; потім стираються автоматично, а при видаленні акаунта — одразу. (Текст — чернетка, до підтвердження власником.)
• Список очікування: адреса видаляється через 30 днів після листа про публікацію і в будь-якому разі не пізніше ніж через 12 місяців після того, як ви її залишили. Видалити її раніше можна на сторінці https://fatradar.com/soon/forget або листом на адресу для звернень.
• Посилання на рецепт: діє до «Закрити доступ» або видалення рецепта чи акаунта; при видаленні акаунта стираються всі ваші посилання.
• Видалення акаунта в застосунку видаляє всі ваші дані негайно і повністю. Після цього на 30 днів лишається службовий запис про сам факт видалення (дата і технічний ідентифікатор входу — без пошти й інших даних), а на 2 доби — хешований (необоротно перетворений) ідентифікатор із лічильником розпізнавань, щоб повторна реєстрація не обходила денний ліміт. Потім і вони стираються.

Ваші права

• Видалити акаунт і всі дані — у застосунку: Профіль → «Видалити акаунт».
• Отримати копію своїх даних, виправити їх чи поставити запитання — написати на david.aaarh.com@gmail.com. Відповідаємо протягом 30 днів.
• Відкликати доступ до Apple Health чи Health Connect — у системних налаштуваннях телефона.
• Подати скаргу до органу захисту персональних даних своєї країни (в Україні — Уповноважений Верховної Ради України з прав людини).

Безпека

Дані передаються лише шифрованим з'єднанням (HTTPS). Дані кожного користувача відокремлені в базі даних на рівні рядків, доступ до серверів має лише розробник. Жоден спосіб зберігання не дає абсолютної гарантії; про витік, що зачепить ваші дані, ми повідомимо.

Діти

Застосунок призначений для людей від 18 років; молодші — лише з дозволу батьків чи опікунів. Ми свідомо не збираємо даних дітей молодше 13 років.

Зміни

Це тестова версія: функції і ця політика можуть змінюватися. Дата чинної редакції — вгорі сторінки.