Izjava o zaštiti podataka

Gearstack, obrt za računalno programiranje i usluge, vl. Kristijan Bezjak
Zagreb, Lučko, Ježdovečka ulica 2A/1
E-mail: privacy@gearstacklabs.com

a) Podaci o računu: ime, e-mail adresa pri registraciji.

b) Zdravstveni podaci (Apple HealthKit): otkucaji srca, HRV (RMSSD), faze sna (duboki/REM/lagani), koraci, SpO2, tjelesna temperatura, frekvencija disanja, klasifikacija EKG-a. Analitički rezultati izračunavaju se na tvom uređaju (On-Device ML). Za sinkronizaciju među tvojim uređajima zdravstveni se podaci dodatno obrađuju u šifriranom obliku u našoj Firebase bazi (EU). Pravna osnova: tvoja izričita privola (čl. 9. st. 2. t. (a) GDPR-a), koju u aplikaciji možeš povući u bilo kojem trenutku.

c) Podaci o korištenju: anonimizirana statistika korištenja aplikacije putem Firebase Analyticsa (može se isključiti).

d) Izvještaji o padu: anonimizirani tehnički izvještaji o pogreškama putem Firebase Crashlyticsa.

e) Podaci za opcionalni AI u oblaku: Tek nakon tvoje izričite privole aplikacija priprema podatke potrebne za AI funkciju koju sam pokreneš: tvoj tekstualni unos; fotografiju samo ako sam odabereš AI skeniranje fotografije; te kontekst potreban za konkretan zahtjev, poput dobi, težine, ciljeva, sna, HRV-a, pulsa u mirovanju, aktivnosti, treninga, tegoba i obroka. Ti podaci potječu iz tvojih izravnih unosa, fotografija koje odabereš te podataka profila, HealthKita i aplikacije koje si prethodno unio ili Gearstacku dopustio čitati. Bez valjane privole podaci se ne šalju AI-u u oblaku.

Gearstack koristi 3 CoreML modela koji se u potpunosti izvode na tvom iPhoneu. Te se ML analize izvode isključivo na uređaju; za sinkronizaciju i AI trenera vrijede usluge u oblaku iz odjeljka 4. Modeli izračunavaju:

• Klasifikaciju oporavka (HRVClassifier)
• Razinu stresa (StressClassifier)
• Rezultat kvalitete sna (SleepQualityRegressor)

Firebase (Google): autentifikacija, Firestore baza podataka za sinkronizaciju među uređajima. Lokacija: EU (europe-west3, Frankfurt). Obrada po nalogu u skladu s čl. 28 GDPR-a.

Opcionalni AI u oblaku (primatelj i svrhe): Ako daš izričitu privolu, Gearstack podatke opisane u odjeljku 2(e) šalje društvu Google LLC putem usluga Google Cloud, Vertex AI i Gemini. Google te podatke obrađuje kao naš izvršitelj obrade isključivo radi izrade odgovora AI trenera koji si zatražio, prepoznavanja obroka ili vježbe kada sam pokreneš takvo skeniranje ili izrade personalizirane preporuke koju si zatražio. Konkretan zahtjev obrađuje se putem konfigurirane regije Google Clouda/Vertex AI-ja; operativna obrada može se prema uvjetima Google Clouda odvijati i izvan EU-a. Kada je potrebno, takav prijenos temeljimo na odgovarajućim zaštitnim mjerama, primjerice EU standardnim ugovornim klauzulama ili okviru EU-US Data Privacy Framework.

Privola i zaštita: Privola je dobrovoljna, izričita i vezana uz verziju ove obavijesti koja ti je prikazana. Možeš je odbiti; tada se podaci ne šalju AI-u u oblaku i neće biti dostupne samo funkcije AI-ja u oblaku. Ako se tekst privole promijeni, ponovno ćemo zatražiti odluku. Odluku možeš u svakom trenutku povući pod Profil → Privatnost. Povlačenjem prestaju budući prijenosi. Google kao izvršitelja obrade ugovorno obvezujemo pružiti istu ili jednakovrijednu zaštitu kao ova izjava o privatnosti i primjenjivi propisi o zaštiti podataka. Prema uvjetima Google Clouda, Google bez prethodnog dopuštenja ili upute ne koristi podatke korisnika za treniranje ili fino podešavanje AI/ML modela; tehnički nužno bilježenje radi sigurnosti i otkrivanja zlouporabe može se odvijati prema tada važećim uvjetima Google Clouda.

RevenueCat: upravljanje pretplatom. Obrađuje samo podatke o kupnji, ne i zdravstvene podatke.

Pravne osnove: izvršenje ugovora (čl. 6. st. 1. t. (b) GDPR-a) za račun, sinkronizaciju i pretplatu; izričita privola (čl. 6. st. 1. t. (a) te, kada su uključeni zdravstveni podaci, čl. 9. st. 2. t. (a) GDPR-a) za obradu putem AI-ja u oblaku.

Gearstack ne pohranjuje zdravstvene podatke u iCloud. Svi podaci ostaju lokalno na uređaju ili u Firebase bazi podataka (EU serveri).

Hosting: Ova web stranica radi na infrastrukturi Cloudflare, Inc. (SAD). Pri posjetu se obrađuju tehnički nužni poslužiteljski zapisi (IP adresa, vrijeme, vrsta preglednika). Pravna osnova: legitimni interes za siguran rad (čl. 6. st. 1. t. (f) GDPR-a); prijenos u SAD na temelju okvira EU-US Data Privacy Framework.

Kolačići i praćenje: Tehnički nužna pohrana (npr. tvoj odabir kolačića, jezik) odvija se bez privole (ePrivacy pravila). Alate za analitiku (Google Analytics 4, Meta Pixel) učitavamo samo uz tvoju privolu (čl. 6. st. 1. t. (a) GDPR-a). Svoj odabir možeš u bilo kojem trenutku promijeniti ili povući putem poveznice „Postavke kolačića“ u podnožju.

Oglasi na blogu (Google AdSense): U našim objavama na blogu prikazujemo oglase putem usluge Google AdSense; pružatelj za korisnike u EGP-u je Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irska. Na početnoj stranici te na stranicama proizvoda i cijena nema oglasa. AdSense postavlja kolačiće i slične tehnologije radi prikaza oglasa, mjerenja njihove uspješnosti i otkrivanja zlouporabe; pritom se tvoja IP adresa te podaci o uređaju i korištenju mogu obrađivati i prenositi društvu Google LLC u SAD (EU-US Data Privacy Framework). To se događa isključivo uz tvoju izričitu privolu za kategoriju „Oglasi na blogu“ (čl. 6. st. 1. t. (a) GDPR-a). Bez te privole ne učitava se nijedna AdSense skripta. Privolu možeš povući u bilo kojem trenutku putem poveznice „Postavke kolačića“ u podnožju; zakonitost obrade do povlačenja time nije dovedena u pitanje. Više informacija: Google – Kako Google koristi podatke iz oglasa. Personalizirano oglašavanje možeš dodatno isključiti u Google postavkama oglasa.

Imaš pravo na:

• Pristup (čl. 15) - koje podatke imamo o tebi
• Ispravak (čl. 16) - ispravljanje netočnih podataka
• Brisanje (čl. 17) - brisanje svih podataka ("pravo na zaborav")
• Prenosivost podataka (čl. 20) - izvoz u PDF/JSON
• Prigovor (čl. 21) - ograničavanje obrade
• Povlačenje privole (čl. 7. st. 3.) - u bilo kojem trenutku s učinkom za budućnost

Upiti na: privacy@gearstacklabs.com

Pravo na pritužbu (čl. 77.): možeš se obratiti nadzornom tijelu za zaštitu podataka, npr. hrvatskoj Agenciji za zaštitu osobnih podataka AZOP (azop.hr) ili tijelu u mjestu svog prebivališta.

Svi prijenosi podataka odvijaju se putem TLS 1.3 (HTTPS). Zdravstveni podaci u Firebase bazi kriptirani su AES-256 enkripcijom. Kontrole pristupa osiguravaju da samo ti možeš pristupiti svojim podacima.

Podaci o računu: do brisanja računa. Zdravstveni podaci i podaci aplikacije: dok ne izbrišeš odgovarajući unos ili račun, osim ako vrijedi kraći tehnički rok ili je čuvanje propisano zakonom. Anonimizirana analitika: 14 mjeseci (standard Google Analyticsa).

Podaci AI-ja u oblaku: AI zahtjev obrađuje se radi izrade odgovora koji si zatražio. Ako rezultat spremiš kao razgovor, obrok, skeniranje, trening ili drugi unos u aplikaciji, taj unos ostaje pohranjen na tvom Gearstack računu dok ga ne ukloniš dostupnom funkcijom brisanja ili ne izbrišeš račun. Prema tada važećim uvjetima usluge i odabranoj konfiguraciji, Google Cloud može ograničeno vrijeme bilježiti zahtjeve, odgovore ili tehničke metapodatke radi sigurnosti i sprječavanja zlouporabe. Povlačenjem privole pod Profil → Privatnost prestaju novi prijenosi AI-u u oblaku; time se retroaktivno ne brišu već dovršene obrade ni unosi koje si odlučio spremiti. Kada izbrišeš račun, Gearstack uklanja podatke povezane s računom iz aktivnih sustava kojima upravljamo; tehnički nužne sigurnosne kopije ili zapisi mogu ostati do planiranog prepisivanja ili onoliko dugo koliko je zakonski potrebno. Zahtjev za brisanje možeš poslati i na privacy@gearstacklabs.com.