Návrh na právnu kontrolu
Ochrana osobných údajov
Toto je návrh, nie schválený dokument. Obsah opisuje, čo aplikácia a server k 1. 9. 2026 skutočne robia — každé tvrdenie nižšie bolo overené v zdrojovom kóde a na produkčnom serveri. Právna formulácia a určenie právnych základov spracúvania sú predmetom kontroly, ktorá ešte neprebehla.
1. Kto údaje spracúva
Prevádzkovateľom je:
BESKIT s. r. o.
Stupava 5665, 900 31 Stupava, Slovenská republika
IČO: 50799690
Kontakt vo veciach ochrany osobných údajov — žiadosti o vymazanie, otázky, uplatnenie práv: sukromie@cukricheck.sk
Zodpovednú osobu (DPO) sme neurčili. [NA POSÚDENIE: čl. 37 GDPR — rozsah spracúvania podľa nás povinnosť nezakladá]
2. Čo aplikácia robí a čo nerobí
CukriCheck je aplikácia na sledovanie makroživín. Zaznamenáva jedlá, sacharidy, bielkoviny, tuky a vlákninu, a k tomu hodnoty glukózy a dávky inzulínu, ktoré do nej používateľ sám zapíše. Počíta z nich glykemický index a glykemickú záťaž.
Aplikácia nie je medicínsky prístroj a nedáva zdravotné rady. Nedáva odporúčania, neurčuje dávkovanie a nehodnotí zdravotný stav. Zaznamenáva to, čo jej používateľ povie, a počíta výživové hodnoty z databázy potravín. Každý výklad tých čísel je na používateľovi a na jeho lekárovi.
3. Aplikácia nemá účty
Do CukriCheck sa nikto neprihlasuje. Neuchovávame meno, e-mail, telefónne číslo ani heslo, pretože ich vôbec nezbierame.
Aby server dokázal rozlíšiť dve inštalácie od seba — na účely limitov a diagnostiky —, aplikácia si pri prvom spustení vygeneruje náhodný identifikátor zariadenia (UUID). Ten neobsahuje nič o zariadení ani o používateľovi, nie je to reklamný identifikátor ani hardvérové číslo, a nedá sa z neho odvodiť, o koho ide. Používateľ ho vidí v Nastavenia → Súkromie.
4. Čo zostáva v telefóne a na náš server sa neposiela
Toto je najcitlivejšia časť údajov, a práve preto sa v aplikácii nič neprihlasuje — tieto údaje nemáme kam posielať, pretože nemáme účty:
- Denník jedál vrátane času, množstiev a vypočítaných hodnôt
- Hodnoty glukózy
- Dávky a typy inzulínu
- Obľúbené jedlá a fotografie, ktoré si k nim používateľ uloží
- Naučené obrazové vektory obľúbených jedál — rozpoznávanie podľa vzhľadu beží priamo v telefóne, model je súčasťou aplikácie a fotografie sa na tento účel nikam neposielajú
- Nastavenia a cieľové hodnoty
Tieto údaje sú uložené v internom úložisku aplikácie. Odinštalovanie aplikácie ich odstráni. Neexistuje ich záloha na našej strane, takže odinštalovanie znamená ich nezvratnú stratu.
Export pre lekára — jediná cesta von, a rozhodujete o nej vy
V Nastaveniach sa dá z denníka vytvoriť PDF report za zvolené obdobie. Obsahuje presne to, čo je vyššie napísané ako údaje zostávajúce v telefóne: hodnoty glukózy, jedlá a dávky inzulínu. Vznikne ako súbor v úložisku aplikácie a aplikácia ho ponúkne na odoslanie systémovým dialógom — do e-mailu, do správy, na tlač, kamkoľvek.
Tento súbor teda zariadenie opustí — a je poctivé to napísať vedľa vety, že tieto údaje zostávajú v telefóne. Rozdiel je v tom, kto to spraví a kam to ide:
Je to váš vedomý úkon, nie funkcia, ktorá beží na pozadí. Súbor neprechádza naším serverom, neposiela sa nám a nemáme o ňom žiadny záznam; ide priamo z telefónu tomu, komu ho pošlete. Od chvíle, keď ho odošlete, je to údaj u príjemcu — u lekára, v poštovej schránke, v aplikácii, ktorú ste na odoslanie vybrali — a naše sľuby o uchovávaní a vymazaní sa naň už nevzťahujú, pretože ho nemáme.
5. Čo sa posiela na server a prečo
| Údaj | Kam ide | Ako dlho |
|---|---|---|
| Fotografia jedla (rozpoznávanie) | Náš server → Anthropic (model Claude). Server si fotografiu neuchováva. | Neuchovávame |
| Fotografia receptu | To isté | Neuchovávame |
| Fotografia etikety (nutričná tabuľka) | Náš server → Anthropic, a server si ju uchováva — pozri časť 6 | Do vymazania |
| Nadiktovaná veta (text, nie zvuk) | Prepis textu → náš server → OpenAI (model, ktorý vetu rozloží). Zvuk k nám nikdy nejde — pozri časť 7. | Neuchovávame |
| Hľadaný text potraviny | Náš server (databáza potravín) | Neuchovávame |
| Čiarový kód | Náš server; ak kód nepoznáme, aj do Open Food Facts | Kód a údaje o výrobku áno; kto ho hľadal, nie |
| Záznam o volaní — čas, ktorá funkcia, počet tokenov, cena, identifikátor zariadenia. K nemu krátka poznámka o priebehu, v ktorej môže byť názov jedla, ktorý sa na fotografii rozpoznal, alebo hľadané slovo. Nikdy nie celá fotografia ani celá veta. | Náš server | 12 mesiacov |
| Hlásenie o páde aplikácie — výpis chyby, verzia aplikácie, verzia Androidu, model zariadenia, identifikátor zariadenia | Náš server | 90 dní |
| Počítadlá limitov — identifikátor zariadenia, deň, počet volaní | Náš server | Kľúčom je deň |
Fotografie jedla a receptov spracúva Anthropic PBC ako spracovateľ na náš pokyn, výhradne na to, aby z obrázka prečítal, čo na ňom je. Nepoužívajú sa na trénovanie modelov. Nadiktované vety spracúva OpenAI na to isté — rozloženie vety na jedlá, množstvá a čas.
Uložený denník, história glukózy ani história inzulínu sa na server neposielajú v žiadnom prípade — ani pri rozpoznávaní, ani pri diktovaní. Modelu ide jedna veta a zoznam názvov obľúbených jedál, nie história a nie záznamy.
Jedna výnimka, ktorú treba povedať presne: práve nadiktovaná veta môže sama obsahovať hodnotu glukózy alebo dávku inzulínu („mám cukor sedem dva", „dal som si šesť jednotiek"). Taká veta sa odošle, rozloží na záznam a na serveri sa neuchováva — záznam z nej vznikne až v telefóne. Ale odoslaná je, a tvrdiť opak by nebola pravda.
6. Fotografia etikety — jediná, ktorú uchovávame
Keď používateľ odfotí nutričnú tabuľku výrobku, fotografiu si ponecháme. Dôvod je kontrola: hodnoty prečítané z etikety sa ponúkajú ostatným používateľom, a to len vtedy, keď dve nezávislé čítania toho istého výrobku súhlasia. Fotografia je doklad, podľa ktorého sa dá overiť, či je číslo správne.
Pred uložením sa fotografia prekóduje a odstránia sa z nej všetky EXIF údaje vrátane GPS polohy.
Fotografia sa môže stať verejnou NEROZHODNUTÉ
Táto podsekcia opisuje dnešný stav, ale rozhodnutie, či to tak má zostať, ešte nepadlo. Je to jediný krok, ktorý z fotografie robí nevrátiteľnú kópiu na cudzích zariadeniach. Alternatíva je nepublikovať fotografie používateľov vôbec (obrázky výrobkov len z Open Food Facts), čím by sa celá výnimka nižšie z dokumentu stratila a sľub o vymazaní by bol absolútny.
Ak z fotografie etikety vznikne obrázok výrobku, ktorý sa zobrazuje pri hľadaní, je verejne
dostupná na adrese v tvare cukricheck.online/images/<náhodný-kód>.jpg. Je to
vedomé rozhodnutie človeka, ktorý hodnoty kontroluje, nie automatický krok, a
fotografia sa pri tom znova prekóduje bez EXIF a GPS.
Pri zverejnenej fotografii je hranica toho, čo dokážeme. Na požiadanie vymažeme našu kópiu a prestaneme ju šíriť — nové zariadenia ju potom nedostanú a už uložené kópie postupne vypršia. Nedokážeme však zasiahnuť do kópií, ktoré si aplikácie ostatných používateľov už stiahli do svojej pamäte. Uvádzame to výslovne, pretože je to skutočná hranica, nie výnimka zo sľubu.
7. Diktovanie spracúva Google
Keď používateľ diktuje, zvuk k nám nejde. Prevod hlasu na text robí rozpoznávač reči, ktorý je súčasťou systému Android, teda spracovanie zvuku prebieha podľa podmienok spoločnosti Google. Na náš server ide až výsledný text.
Uvádzame to, pretože by to inak bolo prekvapenie: mikrofón si vyžiada naša aplikácia, ale zvuk počuje systémová služba.
8. Na akom právnom základe to spracúvame
Ku každému spracúvaniu z častí 5 a 6 patrí jeden z týchto dôvodov:
Poskytnutie funkcie, ktorú si používateľ sám vyžiada
Čl. 6 ods. 1 písm. b) GDPR — plnenie zmluvy, ktorou sú podmienky používania aplikácie. Patrí sem rozpoznanie fotografie jedla a receptu, prečítanie etikety, rozloženie nadiktovanej vety, hľadanie potraviny a vyhľadanie čiarového kódu. Bez odoslania na server tieto funkcie neexistujú — používateľ ich spustí tým, že stlačí spúšť alebo mikrofón.
Prevádzka a ochrana služby
Čl. 6 ods. 1 písm. f) GDPR — oprávnený záujem. Patrí sem identifikátor zariadenia, denné limity, záznamy o volaniach a hlásenia o pádoch. Záujem je konkrétny: služba stojí peniaze za každé volanie modelu, takže bez limitu na zariadenie by jeden zneužitý prístup vyčerpal rozpočet a aplikácia by prestala fungovať všetkým. Bez hlásení o pádoch by sme o chybe na cudzom telefóne nevedeli vôbec.
Správnosť výživových hodnôt
Čl. 6 ods. 1 písm. f) GDPR — oprávnený záujem na tom, aby hodnoty, ktoré aplikácia ponúka ostatným, boli overiteľné. V aplikácii pre diabetikov je nesprávne číslo priama škoda, a fotografia etikety je jediný doklad, podľa ktorého sa dá číslo skontrolovať.
[NA POSÚDENIE: zverejnenie fotografie etikety ako obrázka výrobku (časť 6) ide nad rámec kontroly hodnôt a potrebuje vlastné posúdenie — alebo sa nebude robiť vôbec.]
Súhlas nepoužívame — a je to dôsledok toho, že nemáme účty
Nemáme účet, v ktorom by sa súhlas dal zaznamenať, priradiť konkrétnej osobe a neskôr odvolať. Súhlas, ktorý sa nedá odvolať, nie je súhlas. Namiesto neho je každé odoslanie samostatný vedomý úkon: fotografia sa odošle, až keď ju používateľ odfotí, veta až keď ju vysloví. [NA POSÚDENIE]
Údaje o zdraví (čl. 9 GDPR)
Denník, hodnoty glukózy a dávky inzulínu sú údaje o zdraví — a práve preto zostávajú v telefóne a na náš server neprídu. Nespracúvame ich, pretože ich nemáme. Ani vtedy, keď si ich používateľ vyexportuje do PDF (časť 4): ten súbor ide z telefónu rovno tomu, komu ho pošle, nie cez nás.
Čo sa spracúva, je fotografia jedla a jedna veta o tom, čo si niekto dal. To sa vzťahuje na stravovanie, nie na diagnózu ani na liečbu. [NA POSÚDENIE: nadiktovaná veta môže obsahovať hodnotu glukózy alebo dávku inzulínu (časť 5). Na serveri sa neuchováva, ale prechádza ním a spracovateľom — treba posúdiť, či to je spracúvanie podľa čl. 9 a na akej výnimke stojí. Alternatíva bez tejto otázky: takú vetu spracovať priamo v telefóne a modelu ju neposielať vôbec.]
9. Prenos do Spojených štátov
Náš server je umiestnený v Prahe (Česká republika), teda v Európskej únii. Údaje, ktoré ho opúšťajú, idú k trom spracovateľom:
- Anthropic PBC (USA) — fotografie jedla, receptu a etikety
- OpenAI (USA) — nadiktovaná veta ako text
- Open Food Facts (EÚ) — čiarový kód neznámeho výrobku, bez identifikátora zariadenia
Prenos do Spojených štátov sa opiera o spracovateľskú zmluvu so štandardnými zmluvnými doložkami podľa čl. 46 ods. 2 písm. c) GDPR. [NA POSÚDENIE: overiť platnú DPA s oboma spracovateľmi a či sa dá oprieť aj o EU–US Data Privacy Framework; do dokumentu patrí to, čo je naozaj podpísané.]
Rozpoznávanie reči (časť 7) prebieha v systéme Android a riadi sa podmienkami spoločnosti Google. Nie je to náš prenos — zvuk k nám nikdy nepríde.
10. Ako dlho údaje uchovávame
- Fotografia jedla a receptu, hľadané slovo, nadiktovaná veta — neuchovávajú sa. Spracujú sa v rámci jednej požiadavky a zaniknú.
- Fotografia etikety — kým slúži ako doklad k hodnotám výrobku, alebo do vymazania na žiadosť. Uchováva sa bez identifikátora zariadenia.
- Hlásenia o pádoch — 90 dní. Maže ich sama služba pri štarte, nie ruka.
- Záznamy o volaniach — najviac 12 mesiacov. Sú to čísla o spotrebe a cene, podľa ktorých sa nastavujú limity a plánujú náklady. [DOPLNIŤ: automatické mazanie po 12 mesiacoch ešte nebeží — dovtedy je táto lehota záväzok, nie opísaný stav. Doplniť pred zverejnením dokumentu.]
- Počítadlá limitov — kľúčom je deň; staršie dni sa na nič nepoužívajú.
11. Vaše práva
Podľa GDPR má používateľ právo na prístup k údajom (čl. 15), na ich opravu (čl. 16), na vymazanie (čl. 17), na obmedzenie spracúvania (čl. 18), na prenosnosť (čl. 20) a právo namietať proti spracúvaniu založenému na oprávnenom záujme (čl. 21).
Uplatniť sa dajú na kontaktnej adrese z časti 1. Keďže nemáme účty, jediné, čím vieme údaje na serveri priradiť, je identifikátor zariadenia — používateľ ho nájde v Nastavenia → Súkromie a v žiadosti ho treba uviesť.
To má aj druhú stranu, ktorú je poctivé napísať: pri údajoch, ktoré identifikátor nenesú (fotografie etikiet), nedokážeme overiť, že patria práve žiadateľovi, ani ich podľa neho nájsť. Nie je to výhovorka — je to dôsledok toho, že sme si k nim identitu vedome nepripojili (čl. 11 GDPR). O vymazanie konkrétnej fotografie sa dá požiadať, keď vieme, o ktorý výrobok ide.
Sťažnosť možno podať dozornému orgánu:
Úrad na ochranu osobných údajov Slovenskej republiky
Hraničná 12, 820 07 Bratislava 27
dataprotection.gov.sk · statny.dozor@pdp.gov.sk
12. Ako požiadať o vymazanie údajov
V aplikácii: Nastavenia → Súkromie → Zmazať moje údaje na serveri.
Aplikácia sa pri tom identifikuje svojím identifikátorom zariadenia, takže netreba nič opisovať ani nikam písať. Vymaže sa všetko, čo je na serveri viazané na tento identifikátor: záznamy o volaniach, hlásenia o pádoch a počítadlá limitov. Aplikácia zobrazí, koľko záznamov sa vymazalo.
Zariadenie potom dostane nový identifikátor, takže starý sa s ním prestane viazať. Neuchovávame si zoznam zariadení, ktoré o vymazanie požiadali — to by znamenalo ponechať si práve ten identifikátor, ktorý sa mal vymazať.
Denníka v telefóne sa vymazanie netýka — tie údaje na serveri nikdy neboli. Odstránia sa odinštalovaním aplikácie.
Čo sa týmto spôsobom vymazať nedá
- Fotografie etikiet. Uchovávame ich bez identifikátora zariadenia — fotografia bez pripojenej identity je menší zásah než fotografia spojená s identifikátorom. Dôsledkom je, že ich podľa zariadenia nedokážeme nájsť. O vymazanie konkrétnej fotografie sa dá požiadať na adrese nižšie.
- Fotografie zverejnené ako obrázok výrobku — pozri časť 6.
- Údaje o výrobkoch (názov, čiarový kód, výživové hodnoty). Nie sú to údaje o používateľovi, ale o obchodnom výrobku, a tvoria databázu, ktorá slúži všetkým.
Písomné žiadosti a otázky: na kontaktnú adresu v časti 1.
13. Čo nerobíme
- Nepoužívame reklamu ani reklamné identifikátory.
- Neposielame údaje analytickým službám tretích strán. Diagnostika (pády, záznamy o volaniach) zostáva na našom serveri; nepoužívame Crashlytics ani obdobnú službu.
- Nepredávame ani neprenajímame údaje.
- Nezaznamenávame polohu. Aplikácia o povolenie na polohu nežiada.
- Nespájame údaje s inými zdrojmi a nevytvárame profily.
14. Deti
Aplikácia nie je určená deťom a nezbierame údaje o veku. [NA POSÚDENIE: cieľová veková skupina a súvisiace povinnosti]
15. Účinnosť a zmeny tohto dokumentu
Pri zmene toho, čo aplikácia posiela alebo uchováva, sa mení aj tento dokument a formulár o bezpečnosti údajov v Google Play. Ktorý dokument platí, hovorí dátum účinnosti; staršie znenie zostáva dostupné na požiadanie.
Účinnosť tohto znenia: 2. septembra 2026
Posledná zmena: 2. septembra 2026