Ini adalah terjemahan. Versi bahasa Inggris yang berlaku. English

Kebijakan Privasi

Berlaku sejak 18 Oktober 2026. Diperbarui 22 Oktober 2026: Marrow kini diterbitkan oleh Marrow Health LLC.

Marrow dibuat sehingga nyaris tidak ada yang perlu dikumpulkan. Data kesehatanmu tersimpan di iPhone kamu, di Apple Health, dan di database lokal milik Marrow sendiri. Tidak ada akun Marrow dan tidak ada analitik. Satu-satunya salinan data kesehatanmu di server yang kami jalankan adalah mirror MCP Cloud yang opsional, yang hanya ada kalau kamu mengaktifkannya dan hilang saat kamu menonaktifkannya.

Kebijakan ini mencakup aplikasi iOS Marrow dan layanan di marrowhealthapp.com dan skeletonarmy.tech. Marrow diterbitkan oleh Marrow Health LLC, sebuah perusahaan limited liability company (LLC) di Georgia. Pertanyaan: [email protected].

1. Apa yang tetap ada di perangkatmu

Semuanya, secara bawaan. Rinciannya:

• Setiap metrik Apple Health yang dibaca Marrow, termasuk langkah, detak jantung, tidur, latihan, pengukuran tubuh, dan kategori lain yang kamu izinkan.
• Catatan makananmu, termasuk makanan, nutrisi, porsi, dan foto apa pun yang kamu ambil.
• Catatan latihan, target, dan pengaturan aplikasimu.
• Token akses untuk server atau agen apa pun yang kamu pasangkan, disimpan di Keychain iOS.

Data ini disimpan di database lokal Marrow di dalam sandbox aplikasi di iPhone kamu. Marrow tidak menyimpan data kesehatanmu di iCloud. Kalau cadangan iPhone kamu aktif, cadangan perangkat itu diatur oleh kebijakan privasi Apple, bukan kebijakan kami.

2. Apa yang keluar dari perangkatmu, dan hanya saat kamu memintanya

Foto makanan yang kamu pilih untuk dipindai

Saat kamu mencatat makanan lewat foto, satu gambar itu dikirim ke layanan foto Marrow dan diteruskan ke Gemini API milik Google, yang mengembalikan tebakan tentang makanan itu dan nutrisinya. Hal-hal yang penting:

• Gambar dikodekan ulang sebelum dikirim, sehingga metadata EXIF dihapus, termasuk lokasi GPS, model kamera, dan cap waktu.
• Foto tidak ditulis ke disk di server kami. Foto disimpan di memori selama permintaan berlangsung lalu dibuang.
• Marrow memakai tingkat API Google berbayar, yang membuat Google tidak memakai konten yang dikirim untuk melatih atau meningkatkan modelnya. Google dapat menyimpan konten sebentar untuk pemantauan penyalahgunaan dan kepatuhan hukum berdasarkan Ketentuan Gemini API.
• Tidak ada data kesehatan, nama, email, atau pengenal akun yang dikirim bersama foto. Google menerima gambarnya dan tidak ada hal lain tentang kamu.
• Pencatatan AI bersifat opsional. Entri manual tidak mengirim apa pun. Pencarian makanan menelusuri makanan USDA yang sudah tertanam di aplikasi pada ponsel, dan hanya mengirim kata-kata yang kamu ketik ke Open Food Facts untuk menemukan makanan bermerek. Ia tidak pernah mengirim gambar atau audio.

Deskripsi teks dan suara yang kamu pilih untuk dicatat

Saat kamu mencatat makanan dengan mengetik deskripsi atau berbicara, teks atau klip audio singkat itu dikirim ke layanan makanan Marrow dan diteruskan ke Gemini API milik Google, yang mengembalikan transkrip (untuk audio) dan tebakan tentang makanan beserta nutrisinya. Klip dan teksnya disimpan di memori selama permintaan berlangsung lalu dibuang. Tidak ada yang ditulis ke disk di server kami. Ketentuan API Google yang sama seperti untuk foto berlaku. Tidak ada data kesehatan dan tidak ada identitas yang ikut terkirim.

MCP Cloud (Marrow Pro): salinan pribadi di server kami

Ini opsional, nonaktif secara bawaan, dan satu-satunya kasus ketika kami menyimpan data kesehatan. Saat kamu mengaktifkannya, aplikasi membuat mirror di server yang kami jalankan dan menjaganya tetap terbaru di latar belakang: metrik Apple Health, makanan, latihan, set kekuatan, tidur, dan target hariannya, yaitu catatan yang sama dengan yang ditampilkan aplikasi. Dengan begitu, ChatGPT, Claude, atau Gemini dapat membaca salinan itu kapan saja, termasuk saat ponselmu tidur. Hal-hal yang penting:

• Tautan yang diberikan aplikasi kepadamu mengidentifikasi mirror-mu tetapi tidak bisa membacanya. Setiap AI harus masuk, dan proses masuk itu selesai hanya setelah kamu mengetik kode dari halaman masuk ke Marrow dan menyetujuinya. Kamu bisa menolak permintaan apa pun.
• Mirror disimpan di server di Amerika Serikat, dilindungi token akses yang disimpan dalam bentuk hash. Secara teknis kami bisa membacanya selama ia ada, kami tidak melakukannya, dan kami hanya mencatat path permintaan dan kode status, tidak pernah token atau isinya. Lalu lintas melewati Cloudflare, yang mengakhiri TLS.
• Kalau kamu juga mengaktifkan Izinkan AI menulis (Marrow 1.3.4 ke atas. Nonaktif secara bawaan), AI yang sudah kamu setujui dapat meminta untuk menambah atau mengubah entri: makanan, air, berat badan, latihan, tidur, gejala, suasana hati, dan targetmu. Permintaan itu ditahan di mirror sampai ponselmu mengambil dan menerapkannya, dan tetap berada di sana bersama salinan lainnya agar bisa dibatalkan. Selama sakelar ini aktif, mirror juga menyimpan token notifikasi push Apple milik ponselmu, yang hanya dipakai untuk memberi tahu ponsel bahwa ada sesuatu yang menunggu. Menonaktifkannya menghapus token itu. Notifikasinya sendiri tidak membawa data kesehatan.
• Siapa yang menerima apa yang dibaca AI. Setiap jawaban yang diberikan AI kamu dibuat oleh penyedianya (Anthropic untuk Claude, OpenAI untuk ChatGPT, Google untuk Gemini) dari catatan yang dibaca layanan penyedia itu dari salinanmu atas permintaanmu. Apa yang mereka simpan dan bagaimana mereka memakainya diatur oleh ketentuan penyedia itu, bukan ketentuan kami. Kami tidak mengirim apa pun ke penyedia AI mana pun atas inisiatif kami sendiri.
• Berapa lama salinan disimpan. Selama MCP Cloud aktif, dan tidak lebih lama: mengetuk Putuskan dan hapus salinan menghapus mirror seketika, beserta setiap token, permintaan tulis yang mengantre, dan token push yang menjadi miliknya. Mirror yang dibuat tetapi tidak pernah menerima kiriman dari ponsel dihapus setelah tujuh hari. Kalau kamu menghapus aplikasi tanpa memutuskan koneksi lebih dulu, salinan tetap ada sampai kamu meminta kami menghapusnya (lihat bagian 6). Kami tidak bisa membedakan aplikasi yang dihapus dari ponsel yang sekadar sedang offline. Mencabut AI yang terhubung langsung menghentikan pembacaannya.
• Log server. Server Connect mencatat satu baris per permintaan: metode, path, kode status, dan waktunya. Tidak pernah datanya, tidak pernah token. Log itu dirotasi dan dihapus dalam 30 hari.

Pembelian

Marrow Pro dijual lewat Apple. Apple menangani pembayaran, uji coba gratis, perpanjangan, pembatalan, dan pengembalian dana, dan kami tidak pernah melihat kartu, nama, atau Apple ID kamu. Aplikasi memeriksa hak aksesmu ke Apple di perangkat. Kami tidak menjalankan server pembelian dan tidak menyimpan catatan pembelian yang terkait dengan identitasmu (lihat Analitik langganan di bawah). Saat aplikasi berbicara dengan layanan makanan kami, ia menyampaikan apakah perangkat memakai Pro (satu kata, agar layanan dapat menerapkan batas harian yang tepat) dan versi aplikasinya. Keduanya tidak terkait denganmu.

Analitik langganan (RevenueCat)

Untuk melihat perkembangan Marrow Pro (uji coba yang dimulai, langganan yang dipertahankan atau dibatalkan, pendapatan), aplikasi melaporkan peristiwa pembelian ke RevenueCat, layanan analitik langganan. Yang diterimanya: transaksi App Store (paket mana, kapan, tingkat harga, dan apakah diperpanjang), pengenal anonim yang dibuat RevenueCat untuk pemasangan itu, dan detail perangkat dasar seperti versi iOS dan versi aplikasi. Ia tidak menerima nama, email, Apple ID, atau data kesehatan apa pun, dan kami tidak memakainya untuk iklan. Apple tetap menjadi penjualnya. RevenueCat hanya mengamati transaksi yang sudah dilakukan Apple.

Pemeriksaan versi

Setiap kali Marrow naik ke latar depan, ia mengunduh file kecil dari server kami yang menyebutkan versi aplikasi mana yang masih didukung. Permintaan itu tidak membawa pengenal. Ia hanya menyebutkan negara App Store tempat ponselmu berbelanja (misalnya USA), agar harga yang ditampilkan di aplikasi sesuai dengan tokomu. Server kami tidak menyimpan apa pun darinya selain log koneksi biasa yang dijelaskan di bawah. Kalau versimu di bawah minimum, aplikasi menampilkan layar pembaruan alih-alih berjalan.

Apple Watch

Aplikasi jam menerima total hari ini, targetmu, dan makanan terakhirmu dari iPhone lewat Watch Connectivity milik Apple, dan mengirim balik air dan makanan yang kamu catat di pergelangan tangan. Lalu lintas itu hanya terjadi di antara dua perangkatmu. Jam menyimpan angka terbaru untuk komplikasinya. Ia tidak membaca apa pun dari aplikasi Kesehatan di jam dan tidak memegang izin Kesehatan. Makanan yang didiktekan di jam diubah menjadi kata-kata oleh watchOS lalu ditangani persis seperti deskripsi ketikan di atas.

Foto latihan

Foto pustaka latihan tidak disertakan dalam aplikasi. Saat kamu membuka sebuah latihan, aplikasi mengambil dua fotonya dari repositori sumber terbuka publik yang di-host di GitHub (free-exercise-db). GitHub hanya melihat permintaan gambar biasa dari alamat IP kamu dan tidak ada yang lain: tidak ada pengenal, tidak ada data kesehatan, dan tidak ada apa pun tentang latihanmu. Setelah itu foto disimpan di cache pada ponsel.

Menu kantin kampus (Marrow Pro)

Kalau kamu memilih sebuah kampus, aplikasi mengunduh menu terbitan kampus itu dari file statis di server kami. Pilihan kampusmu disimpan di perangkatmu. Permintaan itu tidak membawa pengenal dan tidak membawa data kesehatan.

Pengenal perangkat acak, hanya untuk pembatasan laju

Pencatatan AI (foto, teks, dan suara) membuat kami mengeluarkan biaya per permintaan, jadi dibatasi per perangkat per hari: tiga per hari di paket gratis, batas yang lebih tinggi di Marrow Pro. Untuk menghitung permintaan, aplikasi membuat pengenal acak saat pertama kali kamu memindai, menyimpannya di Keychain kamu, dan mengirimkannya bersama permintaan foto. Ini bukan Apple ID kamu, bukan nomor seri perangkatmu, bukan pengenal iklan, dan tidak diturunkan dari apa pun tentang kamu atau perangkat kerasmu. Server kami hanya menyimpan hitungan untuk hari berjalan, dan baris kemarin dihapus saat hari berganti. Ia tidak pernah dibagikan, dan tidak pernah dilekatkan pada data kesehatan karena kami tidak pernah menerima data kesehatan.

Barcode dan pencarian makanan

Saat kamu memindai barcode atau mencari makanan, nomor barcode atau teks pencarian dikirim ke Open Food Facts, database makanan terbuka, untuk mencari produk bermerek. Tidak ada pengenal dan tidak ada data kesehatan yang ikut. Marrow juga menyertakan database USDA FoodData Central yang tertanam di aplikasi, sehingga makanan umum ditemukan secara offline tanpa permintaan jaringan sama sekali.

Apa pun yang sengaja kamu ekspor

Inti dari Marrow adalah membiarkanmu memindahkan datamu sendiri. Saat kamu mengekspor file, menjalankan otomatisasi, memasangkan server, atau menghubungkan agen AI lewat MCP, datamu pergi ke tempat yang kamu tentukan. Kalau kamu mengarahkan otomatisasi ke servermu sendiri, server itu menerima data kesehatanmu dan aturan operatornya berlaku. Kami tidak berada di tengah koneksi itu, kami tidak melihatnya, dan kami tidak bisa mengambilnya kembali untukmu. Pilih tujuan yang kamu percaya.

3. Apa yang dicatat server kami

Layanan makanan menulis satu baris per permintaan yang berisi: cap waktu, lama permintaan berlangsung, kode status HTTP, ukuran unggahan dalam byte, nama model, jumlah makanan yang terdeteksi, dan jumlah token. Ia tidak mencatat gambar, makanan yang teridentifikasi, pengenal perangkatmu, alamat IP kamu di log aplikasi, atau data kesehatan apa pun.

Situs web ini. marrowhealthapp.com menghitung kunjungan dengan Cloudflare Web Analytics: halaman mana yang dilihat, situs mana yang mengirim pengunjung, serta browser, jenis perangkat, dan negara. Ia tidak memasang cookie, tidak melakukan fingerprinting, dan tidak mengikutimu ke situs lain. Aplikasi tidak mengirim apa pun ke sana.

4. Yang tidak akan pernah kami lakukan

Ini adalah komitmen, bukan pengaturan bawaan yang bisa kami ubah diam-diam. Bagian ini ada, salah satunya, karena Pedoman Peninjauan App Store Apple 5.1.3 mengatur aplikasi kesehatan, dan kami mengikatkan diri padanya secara tegas:

• Kami tidak pernah memakai data kesehatan untuk iklan. Marrow tidak menampilkan iklan jenis apa pun, dari kami maupun dari pihak lain.
• Kami tidak pernah menjual, menyewakan, atau menukar datamu, kepada pialang data maupun siapa pun.
• Kami tidak pernah membagikan data kesehatan kepada pihak ketiga untuk pemasaran, dan tidak pernah membagikannya untuk penggunaan independen mereka sendiri.
• Kami tidak pernah menyimpan data kesehatanmu di iCloud.
• Kami tidak pernah memakai data kesehatan untuk tujuan apa pun di luar manfaat langsung bagimu di dalam aplikasi, seperti riset atau pembuatan profil, tanpa persetujuan terpisah darimu.
• Kami tidak menjalankan SDK iklan atau pelacakan dan tidak ada pelaporan crash. Satu-satunya layanan analitik di aplikasi, RevenueCat, melihat peristiwa pembelian dan tidak pernah data kesehatan. Marrow tidak meminta izin App Tracking Transparency karena ia tidak melacakmu.
• Kami tidak mewajibkan akun, jadi kami tidak menyimpan alamat email, kata sandi, atau profil untukmu.

5. Izin Apple Health

Marrow membaca dari Apple Health hanya pada kategori yang kamu setujui, dan iOS mengendalikannya sepenuhnya. Kamu bisa meninjau atau mencabut kategori mana pun kapan saja di Pengaturan, Privasi & Keamanan, Kesehatan, Marrow. Marrow juga menulis balik ke Apple Health, seperti makanan yang kamu catat dan latihan yang kamu rekam, saat kamu mengizinkannya. Kalau kamu membiarkan AI yang terhubung mencatat untukmu, entri yang ia tambahkan atas permintaanmu (termasuk tidur, gejala, dan suasana hati) ditulis dengan cara yang sama, dan hanya untuk jenis yang kamu izinkan. Mencabut izin langsung menghentikan pembacaan baru. Data yang sudah disinkronkan ke database lokal Marrow tetap di sana sampai kamu menghapusnya atau menghapus aplikasi.

6. Menghapus datamu

Hapus aplikasi Marrow dan semua yang disimpannya ikut terhapus, karena semuanya berada di sandbox aplikasi. Tidak ada akun di sisi server yang perlu ditutup. Satu-satunya pengecualian adalah salinan Hubungkan AI kamu yang opsional: ketuk Putuskan dan hapus salinan pada kartu MCP Cloud sebelum menghapus aplikasi dan salinan itu langsung hilang. Kalau kamu sudah menghapus aplikasi saat Connect masih aktif, kirim email ke alamat di bawah dengan tautan Connect kamu (tautan dari kartu MCP Cloud, kalau kamu masih menyimpannya) atau perkiraan tanggal kamu mengaktifkan Connect, dan kami akan menghapus salinan itu dalam 30 hari. Kami tidak bisa menemukannya lewat namamu, karena salinan itu tidak memuat nama. Data di Apple Health adalah milik Apple Health dan dikelola di aplikasi Kesehatan. Data yang kamu ekspor ke tujuanmu sendiri adalah tanggung jawabmu untuk dihapus di sana. File yang kamu ekspor ke perangkatmu sendiri juga menjadi milikmu.

7. Keamanan

Semua permintaan jaringan memakai TLS. Server yang dipasangkan dan server MCP di perangkat diautentikasi dengan bearer token yang dibuat di perangkatmu dan disimpan di Keychain. Server di perangkat dikirim dalam keadaan mati dan hanya terikat ke jaringan lokalmu saat kamu menyalakannya, dan kamu bisa mencabut token dengan melepas pasangan server di aplikasi. Hubungkan AI kamu bekerja sebaliknya: tokennya adalah token OAuth yang diterbitkan server Connect kami kepada AI yang kamu setujui (dengan PKCE, masa berlaku singkat, dan penyegaran), disimpan dalam bentuk hash di server, dan setiap tokennya dicabut saat kamu mengetuk Putuskan. Untuk melaporkan masalah keamanan, kirim email ke alamat di bawah dengan "Security" di subjek, atau lihat security.txt.

8. Anak-anak

Marrow tidak ditujukan untuk anak di bawah 13 tahun, dan kami tidak dengan sengaja mengumpulkan informasi dari mereka. Kami tidak punya akun, jadi kami tidak punya cara untuk mengetahui usia pengguna.

9. Hakmu

Di bawah undang-undang seperti GDPR dan CCPA, kamu berhak untuk mengakses, memperbaiki, menghapus, dan memindahkan data pribadimu, serta menolak pemrosesan tertentu. Arsitektur Marrow memenuhi hal-hal ini sejak awal: datamu sudah ada di tanganmu, bisa diekspor dalam format terbuka kapan saja, dan bisa dihapus dengan menghapus aplikasi. Kami tidak menjual informasi pribadi, jadi tidak ada yang perlu dipilih untuk ditolak. Kalau kamu yakin kami menyimpan sesuatu tentang kamu dan ingin menghapusnya, tulis ke [email protected] dan kami akan menindaklanjutinya dalam 30 hari.

10. Perubahan

Kalau kebijakan ini berubah dengan cara yang memengaruhi apa yang keluar dari perangkatmu, kami akan memperbarui tanggal berlaku di bagian atas dan menjelaskan perubahannya di catatan rilis aplikasi. Terus menggunakan setelah perubahan berarti kamu menerima kebijakan yang diperbarui.

11. Kontak

Marrow Health LLC
[email protected]