Privatumo politika

„Dersoma“ tvarko asmens duomenis pagal BDAR principus: teisėtumas, sąžiningumas, skaidrumas, tikslų ribojimas, duomenų mažinimas, tikslumas, saugojimo trukmės ribojimas, vientisumas ir konfidencialumas.

1. Duomenų valdytojas ir kontaktai

Valdytojas: Dersoma, MB, Vilties g. 16A, LT-58386 Dotnuva, Kėdainių r. sav., Lietuva.

Juridinių asmenų registro (JAR) kodas: 307658420 (registrucentras.lt).

Kontaktai (įskaitant privatumo užklausas): supportdersoma@gmail.com.

Duomenų apsaugos pareigūnas (DAP): nepaskirtas. Užklausas priimame el. paštu aukščiau.

2. Kokius duomenis tvarkome

• Įkeltos odos nuotraukos analizei (taip pat be paskyros kūrimo).
• Klausimyno ir check-in atsakymai (sveikatos kontekstas, kurį pateikiate).
• DI sugeneruoti analizės rezultatai.
• Istorija įrenginyje: išsaugotos analizės (nuotraukų URL, klausimynas, tekstas) saugomos naršyklės localStorage — nėra sinchronizuojamos su serverio paskyros biblioteka.
• Paskyros duomenys (el. paštas) ir sesijos (Supabase Auth).
• Prenumeratos ir apmokėjimo metaduomenys (Stripe).
• Pasirinktiniai priminimai: push ir/ar el. paštas, grafikas, įrenginio ID naršyklėje.
• Techniniai duomenys: IP adresas (įskaitant ribojimą piktnaudžiavimui), žurnalai.

2a. Nuotraukos: saugojimas ir trynimas

Nuotraukos saugomos Supabase Storage kataloge photos.

• Prisijungę vartotojai: failai po uploads/<vartotojo-id>/…. Ištrynus paskyrą (kai leidžia prenumeratos būsena), šio aplanko failai trinami.
• Svečiai: failai gali būti po uploads/guest/…, nepririšti prie paskyros, kol negausime patvirtintos ištrynimo užklausos.

Automatinio galiojimo pabaigos visiems failams pagal nutylėjimą nėra.

2b. DI analizė ir specialių kategorijų duomenys

BDAR 9 str. (specialių kategorijų duomenys): odos nuotraukos ir klausimyno/check-in atsakymai (miegas, mityba, stresas, emocinė būklė, simptomai ir kt.) gali atskleisti sveikatos informaciją. Tvarkome juos tik su jūsų aiškiu sutikimu (žr. 3 skyrių), kai pažymite sutikimo langelį ir pateikiate analizės užklausą.

„Dersoma“ nenaudoja jūsų duomenų savo ML modelių mokymui.

Google Gemini (JAV): analizė vykdoma kreipiantis į Google LLC ir/ar susijusias įmones (Jungtinės Amerikos Valstijos) valdomą Google Gemini API. Mūsų serveriai siunčia užklausas, kuriose gali būti koduotų odos nuotraukų ir klausimyno/check-in teksto (įskaitant su sveikata susijusius laukus). Google tvarko turinį tik tam, kad grąžintų atsakymą jūsų užklausai, pagal savo sąlygas ir privatumo taisykles. OpenAI šiuo metu nenaudojamas gyvai analizei.

Tarptautinis perdavimas DI tikslais: kiekviena analizė reiškia asmens duomenų (įskaitant su sveikata susijusius specialių kategorijų duomenis) perdavimą į JAV API kvietimo metu ir trumpalaikį Google tvarkymą. Žr. 6 skyrių dėl apsaugos priemonių. Jei nenorite tokio perdavimo — nepateikite nuotraukų ir sveikatos konteksto klausimyno DI analizei.

Rezultatai pažymimi kaip DI sugeneruoti ir tik švietimo tikslais.

2c. „Dalintis rezultatais“

Nuoroda be nuotraukų; gali būti edukacinis tekstas. Galioja ~90 dienų, tada nebepasiekiama.

3. Teisiniai pagrindai

• Sutarties vykdymas — paslaugos teikimas.
• Aiškus sutikimas (BDAR 9 str.): nuotraukų ir sveikatos konteksto klausimyno tvarkymas — sutinkate prieš analizę pažymėdami sutikimo langelį.
• Sutikimas — push ir el. pašto priminimai.
• Teisėtas interesas — saugumas, ribojimas, patikimumas.

4. Tikslai

• Edukacinė odos įžvalga ir check-in palyginimai.
• Istorija įrenginyje.
• Priminimai, prenumerata, mokėjimai (Stripe), el. laiškai (Resend).
• Dalijimosi nuorodos, gydytojų paieška (Overpass/Nominatim), orų duomenys (Open-Meteo).

5. Tvarkytojai

Vercel, Supabase, Stripe, Google (Gemini API — JAV), PubMed/NCBI, OpenStreetMap (Nominatim, Overpass), Open-Meteo, Resend, Web Push, CDN (pvz. Cloudflare, jei naudojama).

Google Gemini: tvarkytojas DI išvadoms. Siunčiami koduoti vaizdai ir tekstas (gali būti BDAR 9 str. duomenys). Tvarkymas gali vykti JAV ir kitose Google šalyse. Remiamės Google Cloud duomenų tvarkymo priedu (įskaitant ES standartines sutarčių sąlygas — SCC) ir taikomomis Gemini / Google AI API sąlygomis.

6. Perdavimas už EEE / JK ribų

Kai kurie tiekėjai tvarko duomenis šalyse be ES adekvatumo sprendimo (įskaitant JAV). Taikome BDAR V skyriaus apsaugas, paprastai:

• Standartinės sutarčių sąlygos (SCC) tiekėjo DPA / sutartyje (Supabase, Stripe, Vercel, Resend, Google Cloud / Gemini).
• Jūsų aiškus sutikimas (9 str.) perduodant su sveikata susijusius duomenis į Google JAV, kai pasirenkate DI analizę (papildomai prie sutartinių apsaugų).
• Papildomos tiekėjo saugumo priemonės jų DPA ir dokumentacijoje.

Svarbu dėl Gemini: kiekvieną kartą užklausdami odos analizę, nuotraukos ir klausimyno tekstas gali būti perduoti iš mūsų serverių į Google sistemas JAV. Ilgalaikį saugojimą Google pusėje reglamentuoja Google Gemini API politika. Dėl informacijos kreipkitės supportdersoma@gmail.com; kaip valdytojas atsakome už savo tvarkymą, Google — už savo pagal jų privatumo pranešimus.

7. Saugojimo trukmė

• localStorage istorija — kol išvalysite naršyklę ar įrašą programėlėje.
• Paskyros nuotraukos — iki paskyros trynimo ar užklausos.
• Dalijimosi snapshot — ~90 d.
• Stripe apskaita — pagal įstatymus.

8. Jūsų teisės

• Prieiga, ištaisymas, ištrynimas, apribojimas, perkeliamumas, nesutikimas, skundas VDAI (vdai.lrv.lt).

Kreipkitės: supportdersoma@gmail.com. Paskyrą galite trinti Nustatymuose, kai leidžiama.

9. Saugumas

Prieigos kontrolė, slaptų raktų apsauga, failų validacija, ribojimas užklausų.

10. Vaikai

Paslauga neskirta asmenims jaunesniems nei 16 metų be tėvų sutikimo, kur to reikalauja įstatymas.

11. El. pašto atsisakymo nuorodos

Nuorodoje gali būti įrenginio ID ir el. paštas; ji nėra slapta — peradresavus laišką kitas asmuo gali išjungti priminimus.

12. Pakeitimai

Atnaujiname politiką keičiantis produktui ar įstatymams. Data viršuje.