FitFlora Privacy Notice
Draft dated 25 October 2026, published for review only. Not effective: required consent, comprehensive deletion and contractual checks remain pending.
1. Controller and scope
FitFlora is provided by IE Volodymyr Voitsekhivskyi, 20 Bogunska St, apt. 79, 13300 Berdychiv, Ukraine. This operator determines why and how personal data is processed. Contact support@flora.fit for privacy questions and requests.
This notice covers the FitFlora app, backend, flora.fit and its fitflora-app.web.app pages. Apple, Google and external websites have their own terms for services they independently provide.
2. Overview
Core features work without an account. Your local diary is not synced to an account until you sign in. Guest use does not mean there are no network requests: resources, app integrity checks, diagnostics and product searches may use the internet. AI chat and cloud sync require an account and availability of the relevant feature.
We do not sell personal data or use health information for advertising. Optional Google Analytics is controlled by a separate opt-in on the website and in app versions displaying the analytics choice; older builds with analytics disabled remain disabled. Advertising tracking and session replay are not used. See the analytics notice for events, technical identifiers, retention and withdrawal. Food photos and original voice messages may remain in cloud storage after recognition.
3. Information we process
| Information | Purpose and source |
|---|---|
| Date of birth and the time/version of terms acceptance | Your declared age is checked against the 18+ requirement and used in a new profile. The admission record is local. This is not identity-document verification. |
| Sex, height, weight, goals, meals, water, activity, workouts and fasting periods | Diary, estimates, progress and cactus appearance, from your input, actions and permitted integrations. |
| Email, account and login-provider identifiers, information supplied by Apple/Google | Authentication, account recovery and sync. Firebase manages passwords; we do not receive your Apple or Google password. |
| Chat text, food photos, original audio, transcripts, AI replies and remembered facts | Requested assistance and supported app actions, conversation continuity and audio playback. |
| Account photo, progress photos and selected images | Profile and gallery; app-gallery photos may sync after sign-in. |
| Nickname, friend code, relationships, challenges, points and cactus appearance | Social features you choose to use. |
| IP address, request times, app/OS version, technical identifiers, errors and push tokens | Service delivery, notifications, security and troubleshooting. |
| Support messages and records of completed requests | Assistance, rights requests and dispute handling. |
Do not submit passwords, identity documents or unnecessary sensitive information about others. Content can identify people even when a request omits their email; it is not automatically anonymous.
4. Camera, microphone and health integrations
Workout pose recognition and counting process camera frames on your device, without using them to identify you by face. Separately selected or captured chat/gallery photos may be uploaded. Camera permission does not authorise sending arbitrary frames to AI. A voice message is recorded following your action.
Apple Health and Health Connect connections are optional. Subject to platform support and permissions, FitFlora reads steps, weight and workouts; on Android it also uses associated energy and distance to read workouts. It can write entered weight, its own workouts, water, energy and major nutrients. Imported values become diary records and can sync when signed in. Revoke access in system settings; revocation alone does not delete previously imported records.
Health information and AI transfers need their own lawful basis and explicit consent where applicable. See the Consumer Health Data Notice. System permissions and accepting terms do not replace that consent.
5. AI and memory
Anthropic API is used for conversation and selected-photo understanding. Requests may include your message, relevant conversation history, remembered facts, results retrieved from your diary and context such as sex, age, BMI and calculated targets. AI can carry out supported app actions at your request. Check the results, particularly food composition and quantities.
The current transcription integration sends selected original audio to Google Gemini API; the transcript then enters chat.
Messages, replies, transcripts and memory are stored separately from the shorter context sent to a model. Removing a message from model context does not erase chat history. Removing a remembered fact does not erase its source message or data already processed by a provider. You can inspect and remove automatically saved facts in the memory section.
AI may use internet search to clarify products. Search providers process queries and selected material; unnecessary sensitive information must not be included without the required permission.
We do not use your content to train our own general AI model. Commercial APIs have distinct training and retention terms. A no-training condition does not mean zero retention; we do not promise zero retention by providers.
6. Legal bases
Where GDPR/UK GDPR applies, necessary account and requested-service operations rely on contract, Article 6(1)(b); separate optional permissions rely on consent, 6(1)(a). Health information also needs an applicable special-category condition; the proposed model uses explicit consent, 9(2)(a).
Proportionate security logs, abuse prevention and ordinary support rely on legitimate interests, 6(1)(f), after assessing necessity and effects on rights. Legally required records rely on the relevant legal obligation, 6(1)(c). Legitimate interests are not a general substitute for health-data consent or permission for optional tracking. Declining an optional feature does not remove unrelated functionality.
7. Recipients and social visibility
Google Firebase/Google Cloud provide authentication, databases, files, servers, notifications, security and diagnostics. Anthropic processes AI requests; the selected Google service processes voice. Apple and Google operate their login, permissions and stores. Open Food Facts receives barcodes and connection metadata for product lookup; the request route depends on the feature. Operator personnel/contractors may access information only for necessary operations, support and security. Requests from authorities are assessed under applicable law.
Friends, people using your friend code, and relevant challenge/league participants can see your nickname, points, streak, level and shared cactus appearance. Appearance may indirectly reveal body-related information; consider the available sharing settings. Adding a friend does not publish your detailed diary, weight, date of birth, private chat or audio. If you export or share an image/report outside FitFlora, recipients control their copies.
Chat push notifications can contain a short reply excerpt. It passes through Google/Apple and may appear on the lock screen depending on device settings. You can disable notifications or previews; doing so does not erase chat history.
8. Locations and safeguards
Some infrastructure is in the EU, including the media bucket in europe-west1. Processing is not EU-only: Firebase Authentication operates in the US, and other Firebase and AI services can process information in the US and other countries.
Required international-transfer mechanisms apply, such as an applicable adequacy decision or standard contractual clauses with additional measures where necessary. Contact us for information about safeguards. Before publication, the operator must confirm the actual contracts and transfer mechanisms, including UK transfers; this draft does not certify that they are in place.
The service uses protected network connections, authenticated requests, record access rules and time-limited media links. Do not publish media links: they may allow whoever receives them to access content until expiry. The service is not end-to-end encrypted in a way that prevents the operator from reading content.
9. Retention
| Category | Rule |
|---|---|
| Local diary, preferences and admission | Until the relevant device data is cleared; operating-system backups have separate retention. |
| Account, cloud diary, chat, memory and associated media | While needed for selected features, until deletion or an applicable retention rule. Inactivity does not currently trigger automatic deletion after two years. |
| Deleted media objects | Recoverable copies can remain for 7 days under bucket soft delete; this is not a universal backup period. |
| Crashlytics | Google states 90 days before it begins removing crash traces and associated identifiers from live and backup systems. |
| Anthropic API | Standard input/output retention is within 30 days, with legal, safety and service/agreement exceptions. |
| Voice AI provider | According to the selected commercial service; disabling request-history storage does not exclude protective logs or erase FitFlora originals. |
| Security, support, consent evidence and mandatory records | For the period necessary for the purpose and applicable law, with restricted use for retained dispute/mandatory records. |
Verified server-log, support, consent-evidence and Firestore-backup periods must be added before publication. A media URL's expiry does not delete its file.
10. Rights and deletion
Depending on applicable law, you may request access, correction, deletion, restriction, objection, portability and withdrawal of consent. Email support@flora.fit; no new account is required. We may seek proportionate identity verification, never your password. See Data rights and deletion.
Withdrawal stops the relevant future processing and does not invalidate earlier lawful processing. GDPR requests normally receive a response within one month; any permitted extension and reasons are communicated within the required period. You may complain to a competent data-protection authority, including where you live. Additional applicable US rights and appeals are described in the health-data notice.
11. Age and updates
FitFlora is intended for ages 18 and over; additional feature/provider restrictions can apply. Contact us if a person under 18 has submitted information so we can investigate and delete it without unnecessary further collection. Any stricter applicable local age requirements must also be met.
We will update notices and provide appropriate notification of material processing changes. Required new consent is obtained before the new processing starts. The published notice will identify its effective date.
Политика конфиденциальности FitFlora
Проект от 25 октября 2026 года, размещён для проверки. Не вступил в силу: отдельные согласия, полное удаление и проверка договорных условий ещё не завершены.
1. Кто отвечает за данные
FitFlora предоставляет IE Volodymyr Voitsekhivskyi, 20 Bogunska St, apt. 79, 13300 Berdychiv, Ukraine. Этот оператор определяет цели и способы обработки персональных данных. По вопросам приватности и реализации прав: support@flora.fit.
Политика относится к приложению FitFlora, его серверным функциям, сайту flora.fit и страницам fitflora-app.web.app. У Apple, Google и внешних сайтов есть собственные правила для услуг, которые они предоставляют самостоятельно.
2. Кратко
Базовые функции работают без аккаунта. Локальный дневник не синхронизируется с аккаунтом, пока ты не войдёшь. Это не означает полного отсутствия сетевых запросов: загрузка ресурсов, проверка приложения, диагностика и поиск продуктов могут использовать интернет. AI-чат и облачная синхронизация требуют аккаунта и доступности соответствующей функции.
Мы не продаём персональные данные и не используем сведения о здоровье для рекламы. Необязательная Google Analytics управляется отдельным согласием на сайте и в версиях приложения с выбором аналитики; старые сборки с отключённой аналитикой остаются отключёнными. Рекламное отслеживание и запись сессий не используются. События, технические идентификаторы, сроки и отзыв описаны в уведомлении об аналитике. Фото еды и голосовые сообщения могут храниться в облаке; их обработка не ограничивается кратким распознаванием.
3. Какие данные и для чего
| Данные | Цель и источник |
|---|---|
| Дата рождения, факт и версия подтверждения условий | Проверка допуска 18+; дата вводится тобой и используется в новой анкете. Локальный допуск хранится на устройстве. Это проверка заявленного возраста, а не документов. |
| Пол, рост, вес, цели, питание, вода, активность, тренировки, интервалы голодания | Дневник, расчёт ориентиров, прогресс и внешний вид кактуса. Источники — твой ввод, действия в приложении и разрешённые интеграции. |
| Email, идентификатор аккаунта и входа, сведения от Apple/Google | Вход, восстановление доступа и синхронизация. Паролями управляет Firebase Authentication; мы не получаем пароль от Apple или Google. |
| Текст, фото еды, оригиналы аудио, расшифровки, ответы AI, сохранённые факты | Ответы на запросы, запись питания и других поддерживаемых действий, продолжение разговора и воспроизведение голоса. |
| Фото аккаунта, снимки прогресса, выбранные изображения | Профиль и галерея. Сохранённые в галерее приложения фото могут синхронизироваться после входа. |
| Ник, код друга, связи, запросы, вызовы, очки и вид кактуса | Выбранные социальные функции. Участники видят информацию, описанную ниже. |
| IP-адрес, время запросов, версия приложения/ОС, технические идентификаторы, ошибки, push-токен | Доставка сервиса и уведомлений, защита от злоупотреблений и устранение сбоев. |
| Обращения в поддержку и подтверждения их выполнения | Ответы на вопросы, запросы прав и разрешение споров. |
Не отправляй в чат пароли, документы личности и чужие чувствительные сведения. Само содержание фото, голоса или текста может идентифицировать человека: отсутствие email в запросе не делает его анонимным.
4. Камера, микрофон и данные здоровья
Кадры камеры для распознавания позы и подсчёта упражнений обрабатываются на устройстве. Это не идентификация по лицу. Отдельно выбранные или сделанные фотографии для чата и галереи могут передаваться на сервер. Разрешение камеры само по себе не является разрешением отправлять любые кадры в AI. Аудио для голосового сообщения записывается после твоего действия.
Подключение Apple Health или Health Connect добровольное. В зависимости от платформы и выданных разрешений FitFlora читает шаги, вес и тренировки; Android также использует связанную энергию и дистанцию для чтения тренировок. Приложение может записывать введённый вес, свои тренировки, воду, энергию и основные питательные вещества. Импортированные значения становятся частью дневника и при входе могут синхронизироваться. Отключить доступ можно в системных настройках; уже импортированные записи не исчезают от одного отзыва системного разрешения.
Обработка сведений, раскрывающих состояние здоровья, и их передача в AI требуют отдельного основания и, где применимо, явного согласия. Подробности приведены в политике данных о здоровье. Системные разрешения и принятие условий не заменяют это согласие.
5. AI и память
Для диалога и анализа выбранного фото используется Anthropic API. Модели могут получать текущий текст, необходимую историю разговора, сохранённые факты, результаты поиска по дневнику и контекст: например, пол, возраст, BMI и рассчитанные нормы. AI может выполнять поддерживаемые действия в приложении по твоим запросам; проверяй результат, особенно состав и количество еды.
Текущая техническая интеграция транскрипции передаёт оригинал выбранного аудио в Google Gemini API; расшифровка затем используется в чате.
Сообщения, ответы, расшифровки и память хранятся отдельно от короткого контекста, который отправляется модели. Исключение старого сообщения из контекста не удаляет его из истории. Удаление факта из памяти не удаляет исходное сообщение и сведения, уже обработанные провайдером. Автоматически сохранённые факты можно просмотреть и удалить в разделе памяти.
Для уточнения продуктов AI может использовать поиск в интернете. Поисковые запросы и выбранные фрагменты обрабатывают соответствующие поставщики поиска; чувствительные данные не должны добавляться в такой запрос без необходимости и предусмотренного разрешения.
Мы не используем твой контент для обучения собственной общей AI-модели. Коммерческие API имеют отдельные условия обучения и хранения: «не используется для обучения» не означает «вообще не хранится». Мы не обещаем нулевое хранение у провайдеров. См. сроки ниже.
6. Основания обработки
Там, где применяется GDPR/UK GDPR, необходимые операции аккаунта и запрошенных функций основаны на исполнении договора (статья 6(1)(b)); отдельные добровольные разрешения — на согласии (6(1)(a)). Для данных о здоровье используется также применимое исключение из запрета специальных категорий, в предлагаемой модели — явное согласие (9(2)(a)).
Минимальные журналы безопасности, защита от злоупотреблений и обработка обычных обращений основаны на законном интересе (6(1)(f)) после оценки необходимости и влияния на права. Обязательные по закону записи — на соответствующей правовой обязанности (6(1)(c)). Мы не используем законный интерес как универсальное основание для сведений о здоровье или необязательного отслеживания. Отказ от необязательной функции не закрывает доступ к независимым функциям.
7. Получатели и видимость
Google Firebase/Google Cloud обеспечивают аккаунты, базы данных, файлы, сервер, уведомления, защиту и диагностику. Anthropic обрабатывает AI-запросы; выбранный сервис Google — голос. Apple и Google обрабатывают свой вход, системные разрешения и магазин. При поиске по штрихкоду Open Food Facts получает код и технические данные соединения; путь запроса зависит от функции. Сотрудники или подрядчики оператора могут получать доступ только для необходимых операций, поддержки и безопасности. Законные требования органов рассматриваются в пределах применимого права.
Социальные функции показывают ник, очки, серии, уровень и выбранный вид кактуса друзьям, пользователям с твоим кодом и соответствующим участникам вызовов/лиги. Внешний вид кактуса тоже может косвенно отражать сведения о теле — учитывай настройки его показа. Подробный дневник, вес, дата рождения, приватный чат и его аудио не становятся публичными из-за добавления друга. Если ты сам экспортируешь или отправляешь снимок/отчёт наружу, получатель распоряжается своей копией.
Push-уведомление о чате может содержать короткий фрагмент ответа. Он проходит через Google/Apple и может быть виден на экране блокировки в зависимости от настроек телефона. Можно отключить уведомления или их предпросмотр; это не удаляет сообщение из истории.
8. Страны обработки и защита
Часть инфраструктуры размещена в ЕС: медиа-бакет находится в europe-west1. Это не означает, что все данные обрабатываются только в ЕС. Firebase Authentication работает в США; другие Firebase-сервисы и AI-провайдеры могут обрабатывать данные в США и иных странах.
Для трансграничных передач применяются необходимые правовые механизмы, например действующее решение об адекватности либо стандартные договорные положения и дополнительные меры, когда они требуются. О применяемых гарантиях можно запросить информацию у оператора. Перед публикацией оператор должен подтвердить конкретные договоры и применимые механизмы, включая UK-передачи; этот проект не удостоверяет их заключение.
Используются защищённые сетевые соединения, авторизация запросов, правила доступа к записям и ограниченные по времени ссылки на медиа. Такие ссылки нельзя публиковать: до истечения срока они могут давать доступ получателю. Сервис не является системой со сквозным шифрованием, при котором оператор не может читать содержимое.
9. Хранение
| Категория | Правило |
|---|---|
| Локальный дневник, настройки и допуск | На устройстве до очистки соответствующих данных. Резервная копия ОС может иметь свой срок. |
| Аккаунт, облачный дневник, чат, память и связанные медиа | Пока нужны для выбранных функций, до удаления по запросу или применимому правилу хранения. Неактивность сама по себе сейчас не означает автоматического удаления через два года. |
| Удалённые объекты медиа-бакета | Восстанавливаемая копия может оставаться ещё 7 дней в рамках soft delete. Это не срок хранения всех остальных систем. |
| Crashlytics | Google указывает 90 дней до начала удаления трассировок и связанных идентификаторов из активных и резервных систем. |
| Anthropic API | Стандартно входы и выходы удаляются в течение 30 дней, с исключениями для требований закона, безопасности и отдельных условий/функций. |
| Голосовой AI-провайдер | По условиям выбранной коммерческой услуги; отключение сохранения истории запроса не исключает защитные журналы и не удаляет оригинал из FitFlora. |
| Безопасность, поддержка, доказательства согласий и обязательные записи | Только необходимый для цели и закона период; спорные/обязательные записи хранятся отдельно от повседневного использования. |
До публикации необходимо дополнить подтверждённые сроки серверных логов, обращений, доказательств согласий и резервных копий Firestore. Срок действия ссылки на фотографию не является сроком удаления фотографии.
10. Права и удаление
Ты можешь запросить доступ, исправление, удаление, ограничение, возражение, переносимость и отзыв согласия в пределах применимого закона. Напиши на support@flora.fit; создавать новый аккаунт не нужно. Мы можем запросить соразмерное подтверждение личности, но не пароль. Инструкции — в разделе удаления и запросов.
Отзыв согласия прекращает дальнейшую соответствующую обработку и не отменяет законность предыдущей. Для GDPR обычный срок ответа — один месяц; допустимое продление и его причины сообщаются в установленный срок. Ты вправе обратиться в компетентный орган защиты данных, в том числе по месту проживания. Для применимых законов США предусмотрены дополнительные права и обжалование, описанные в политике данных о здоровье.
11. Возраст и изменения
FitFlora предназначена для пользователей от 18 лет; дополнительные ограничения зависят от функции и применимых условий. Если данные пользователя младше 18 лет попали в сервис, сообщи оператору для проверки и удаления без ненужного дополнительного сбора. При применимости более строгих местных возрастных требований они также должны соблюдаться.
При существенном изменении обработки мы обновим документы и предоставим уведомление подходящим способом, а необходимое новое согласие запросим до начала новой обработки. Дата вступления новой версии будет указана на странице.