Datenschutzerklärung.

1 Verantwortliche

Die BSNS GmbH ist die Verantwortliche für die in dieser Erklärung beschriebene Datenbearbeitung. Sie gilt für die Websites yourkata.com und docs.yourkata.com, die Kata-Web-App unter app.yourkata.com und die Kata-Mobile-Apps für iOS und Android, einschliesslich der Apple-Watch-App und der Widgets, die mit der iOS-App kommen.

Die BSNS GmbH hat keinen gesetzlichen Datenschutzbeauftragten ernannt und ist dazu auch nicht verpflichtet. Für jedes Datenschutzanliegen ist contact@yourkata.com der direkte Draht zu den verantwortlichen Personen.

2 Die Kurzfassung

Deine Gesundheitsdaten gehören dir. Alle Logs, Chats, Fotos und Katas Gedächtnis über dich werden auf dein Gerät geschrieben, nicht in eine Inhaltsdatenbank von uns: im Browser ebenso wie in den Mobile-Apps. Wir zeigen dir nie Werbung, verkaufen nie Daten und erstellen nie ein Profil deiner Gesundheitsdaten. Das Einzige, was wir messen, ist eine einfache, aggregierte Besuchsanalyse auf dieser Marketing-Website (Google Analytics), die du im Banner ablehnen kannst und die deine Gesundheits- oder Kontodaten nie berührt (Ziffer 4). Über die E-Mail-Adresse und die Konto-Kennung, mit denen du dich anmeldest, und die in den Ziffern 9 bis 11 und 16 beschriebenen operativen Aufzeichnungen hinaus verlassen zwei Dinge dein Gerät: deine Nachricht an Kata, an unseren KI-Anbieter gesendet, um deine Antwort zu erzeugen, der sie nicht für Training verwendet und innerhalb von 30 Tagen löscht, während wir keine Kopie davon behalten; und in der Web-App und der Android-App ein Wiederherstellungs-Snapshot deines Kontos, auf deinem Gerät verschlüsselt, bevor er hochgeladen wird, unter einem Schlüssel, den wir nie bekommen. Diesen Snapshot halten wir als Ciphertext, wir haben keine technische Möglichkeit, ihn zu öffnen, und deine Fotos sind nie darin (Ziffer 7). Zwei Funktionen, die du selbst einschaltest, kommen bewusst dazu: Kata Duo teilt einen Ja-oder-Nein-Wert pro Tag mit den Personen, die du einlädst, und nichts darüber, was du getan hast (Ziffer 14), und mit einer sicheren Freigabe sendest du eine Übersicht, die du selbst zusammenstellst, an eine Person deiner Wahl: Sie wird auf deinem Gerät versiegelt, und der Link dazu geht von deinem Gerät aus, damit bleibt sie auch für uns unlesbar (Ziffer 15).

3 Rechtlicher Rahmen

Wir bearbeiten Personendaten gemäss dem Schweizer Bundesgesetz über den Datenschutz (DSG, revidierte Fassung in Kraft seit 1. September 2023) und, soweit sie auf Nutzer im Europäischen Wirtschaftsraum anwendbar ist, der EU-Datenschutz-Grundverordnung (DSGVO). Wo diese Erklärung eine Rechtsgrundlage nennt, bezieht sie sich auf Art. 6 Abs. 1 DSGVO; nach DSG ist die hier beschriebene Bearbeitung durch die Grundsätze von Art. 6 DSG gedeckt und stützt sich nicht auf eine Einwilligung, sofern nicht anders angegeben.

4 Website-Besuche

• Analyse: Diese Website nutzt Google Analytics (bereitgestellt von Google Ireland Limited), um Besuche und Zugriffe aggregiert zu messen: aufgerufene Seiten, ungefähre Region aus einer gekürzten IP-Adresse, Geräte- und Browsertyp und wie du gekommen bist. Es setzt eigene Cookies. Das sind anonyme, aggregierte Nutzungsdaten allein über die Website; sie werden nie mit deinem Kata-Konto verknüpft und enthalten nie Gesundheits- oder persönliche Kontodaten. Es lädt nur, wenn du im Consent-Banner zustimmst, und du kannst ablehnen. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Schweizer DSG).
• Consent-Banner: Analyse lädt erst, nachdem du zustimmst. Deine Wahl, akzeptiert oder abgelehnt, wird als einzelnes Flag im localStorage deines Browsers gemerkt, und bis du zustimmst, werden keine Analyse-Cookies gesetzt und keine Analysedaten gesendet. Löschst du diese Speicherung, kannst du erneut wählen.
• Hosting: Vercel Inc., USA, liefert die Website aus und bearbeitet technische Server-Logs (IP-Adresse, Anfragezeit, User-Agent), um den Dienst zu betreiben und zu schützen (berechtigtes Interesse). Die Bearbeitung kann in der EU und den USA stattfinden; Übermittlungen sind durch die EU-Standardvertragsklauseln und die Schweizer Regeln zur grenzüberschreitenden Datenbekanntgabe abgesichert.
• Schriften sind selbst gehostet und werden vom selben Hosting ausgeliefert wie die Seiten. Kein Schriftdienst eines Drittanbieters wird kontaktiert, und keine Anfrage von dir erreicht einen solchen.

5 Website-Formulare (Kontakt und Partnerschaft)

Nutzt du das Kontakt- oder Partnerschaftsformular, bearbeiten wir die von dir übermittelten Angaben (Name, E-Mail-Adresse, Thema, gegebenenfalls Unternehmen und deine Nachricht), um deine Anfrage zu beantworten (Vertragserfüllung oder vorvertragliche Massnahmen; berechtigtes Interesse bei allgemeinen Anfragen). Die Nachrichten werden durch Resend, Inc., USA, als unsere Auftragsbearbeiterin in unsere Postfächer zugestellt und so lange aufbewahrt, wie es für die Bearbeitung des Anliegens und allfällige Rückfragen nötig ist. Formulardaten werden nie für Werbung verwendet und nie über diesen Zweck hinaus weitergegeben.

6 App: Kontodaten

Um dein Konto zu erstellen und zu sichern, bearbeiten wir deine E-Mail-Adresse, eine Nutzerkennung (deine Konto-ID), deine Authentifizierungsmethode und Authentifizierungs-Zeitstempel, und zwar auf jeder Oberfläche (Web und Mobile-Apps). Die Authentifizierung stellt Supabase als Auftragsbearbeiter bereit, mit Hosting des Projekts in der Schweiz (Region Zürich). Du kannst dich mit E-Mail und Passwort, Google, Apple oder einem Anmeldelink anmelden; nutzt du eine Drittanbieter-Anmeldung, bestätigt uns dieser Anbieter deine Identität, und wir speichern nur deine E-Mail-Adresse und diese Konto-ID. Meldest du dich mit Apple an und wählst «Meine E-Mail-Adresse verbergen», gibt uns Apple eine private Relay-Adresse statt deiner echten E-Mail; unsere transaktionalen E-Mails gehen an dieses Relay und werden von Apple an dich weitergeleitet. Supabase hält keine lesbaren Gesundheitsdaten. Was sonst in dieser Datenbank liegt, steht in den Ziffern 7 und 9 bis 16: der versiegelte Snapshot der Web-App und der Android-App, den wir nicht öffnen können, die dort aufgeführten operativen Aufzeichnungen und, wenn du Kata Duo oder Kata Groups nutzt, ein Ja-oder-Nein-Wert pro Tag.

Die kostenlose Testphase von Kata Plus und die Belohnungen von «Freunde einladen» (Ziffer 13) gibt es einmal pro Person. Damit das auch nach dem Löschen eines Kontos gilt, behalten wir schlüsselbasierte Fingerabdrücke der E-Mail-Adresse des gelöschten Kontos und der damit verknüpften Anmeldekonten bei Apple oder Google. Ein schlüsselbasierter Fingerabdruck ist ein HMAC, ein Einweg-Hash, der mit einem geheimen Schlüssel von uns berechnet wird: Er lässt sich nicht in die Adresse oder das Anmeldekonto zurückverwandeln und kann nur zeigen, dass derselbe Wert wieder auftaucht. Wir bewahren diese Fingerabdrücke 24 Monate nach der Löschung auf und verwenden sie für einen einzigen Zweck: um zu prüfen, ob ein neues Konto einer Person gehört, die die Testphase oder eine Einladungsbelohnung schon hatte; ein solches Konto erhält beides nicht noch einmal. Rechtsgrundlage: unser berechtigtes Interesse, Missbrauch unserer Gratisangebote zu verhindern (Art. 6 Abs. 1 lit. f DSGVO; Schweizer DSG).

7 Deine Gesundheitsdaten und wo sie liegen

Kata ist auf jeder Oberfläche local-first. Alle Gesundheits-Logs (Gewicht, Essen, Wasser, Training, Schlaf, Supplemente), dein Chatverlauf, Katas Gedächtnis über dich, deine Fotos und dein Entscheidungs-Log werden auf dein Gerät geschrieben: im Browser-Speicher der Web-App (localStorage für Einstellungen und strukturierte Logs, IndexedDB für grössere Inhalte wie Fotos) und im lokalen Speicher der App auf iOS und Android. Nur dort existiert all das in lesbarer Form. Wir betreiben keine Inhaltsdatenbank, und es gibt auf unserer Seite nichts, was wir öffnen, lesen oder herausgeben könnten. Löschst du die App oder ihre Website-Daten, sind sie weg; der eingebaute Export existiert, damit du sie vorher sichern kannst.

In der Web-App und der Android-App verlässt eines dein Gerät, und zwar genau dies. Damit ein geleerter Browser, ein neuer Computer oder ein neues Handy nicht eine verlorene Geschichte bedeutet, halten diese beiden Apps einen einzigen Wiederherstellungs-Snapshot deines Kontos, den wir als eine Zeile pro Konto speichern, weil weder ein Browser noch ein Android-Handy Kata eine private Cloud pro Person bietet, auf die es sich stützen könnte. Die iOS-App sendet uns keinen solchen Snapshot: Sie schreibt eine Backup-Datei in ihren eigenen Dokumente-Ordner auf deinem iPhone (Ziffer 11). Bevor der Snapshot dein Gerät verlässt, wird er dort mit AES-256-GCM verschlüsselt, unter einem zufälligen 256-Bit-Schlüssel, der auf deinem Gerät erzeugt wird, im sicheren Speicher des Geräts liegt und dir einmal als Wiederherstellungsschlüssel gezeigt wird. Dieser Schlüssel wird nie in irgendeiner Form an uns gesendet: nicht in der Zeile, nicht in einer Spalte, nicht in einem Request-Header, nicht in einem Log.

In der Android-App liegt dieser Schlüssel an zwei Orten, und keiner davon gehört uns: auf dem Handy, versiegelt unter einem Schlüssel, den der Android Keystore hält, und in Google Block Store, einem Speicher für kleine Geheimnisse, den die Google-Play-Dienste mit deinem Google-Konto führen, nach Googles Bedingungen. Dank dieser zweiten Kopie bekommt ein neues Android-Handy, das du aus deinem Google-Konto einrichtest, den Schlüssel von selbst zurück und kann deinen Snapshot öffnen; wo dein Handy es unterstützt, verschlüsselt Google diese Kopie Ende-zu-Ende mit deiner Displaysperre. Löschst du dein Konto in der App, wird der Schlüssel an beiden Orten entfernt. Wo Block Store nicht verfügbar ist, öffnest du den Snapshot auf einem anderen Gerät mit deinem Wiederherstellungsschlüssel.

Die Zeile hält den versiegelten Umschlag und sonst nichts: eine Formatkennung, eine Versionsnummer, den Namen des Verfahrens, den zufälligen Initialisierungsvektor, den Ciphertext, den Zeitpunkt der Versiegelung und die Schema-Version der Daten darin. Daneben wird kein Schlüssel gespeichert, keine Schlüssel-Kennung, kein Hash des Schlüssels, kein Salt und kein Prüfwert, es gibt auf unserer Seite also nichts, woran sich ein Rateversuch überhaupt prüfen liesse. Wir halten Ciphertext, den wir technisch nicht lesen können, und nur du hältst, was ihn öffnet. Deine Fotos sind nie Teil dieses Snapshots, und ebenso wenig die Werte, die du aus Apple HealthKit oder Google Health Connect importierst. Row-Level-Security ist das zweite Schloss: Die Zeile ist an dein angemeldetes Konto gebunden, kein anderes Konto kommt daran. Sie wird nach einer Änderung erneuert, höchstens einmal pro Viertelstunde (in der ersten Stunde eines neuen Kontos alle zwei Minuten), und alle sechs Stunden, wenn sich nichts geändert hat; jede Erneuerung überschreibt die vorige, und sie wird mit deinem Konto gelöscht. Kann dein Gerät nicht verschlüsseln, wird gar nichts hochgeladen.

Gesundheitsdaten, die du aus Apple HealthKit oder Google Health Connect importierst, werden wie jeder andere Gesundheitseintrag behandelt: Sie leben auf deinem Gerät und werden nie auf unseren Servern gespeichert. Wenn du Kata eine Frage stellst, werden die importierten Werte, die diese Frage braucht, mit ihr an unseren KI-Anbieter gesendet, um sie zu beantworten (Ziffer 8). Wir speichern sie nie, verkaufen sie nie und verwenden sie nie für Werbung.

8 KI-Coach

Wenn du mit Kata redest, werden deine Nachricht und der minimale Kontext, der zur Beantwortung nötig ist, einschliesslich allfälliger Werte aus Apple HealthKit, Google Health Connect oder WHOOP, die die Frage braucht, über eine verschlüsselte Verbindung an unseren KI-Anbieter (derzeit Anthropic PBC, USA) übermittelt, um die Antwort zu erzeugen. Anthropic verwendet diese Anfragen nicht zum Training seiner Modelle und löscht sie innerhalb von 30 Tagen. Den Inhalt dieser Anfragen speichern wir nicht auf unseren Servern; wir erfassen nur aggregierte Token-Zahlen pro Konto zur Kostenkontrolle. Fragen, die du auf der Apple Watch stellst, werden gleich behandelt. Spracheingaben werden in Text umgewandelt, bevor sie uns erreichen: durch die Spracherkennung von Apple in der iOS-App, durch die Spracherkennung deines Handys in der Android-App, die auf den meisten Android-Handys von Google stammt und das Audio auf Servern von Google bearbeiten kann, und durch die Spracherkennung deines Browsers in der Web-App, jeweils nach den eigenen Bedingungen ihres Anbieters. Fotos werden wie Nachrichten analysiert, nur wenn du sie sendest.

9 Abstrahierte Produktsignale

Um Kata zu verbessern, unser Publikum zu verstehen und Fair Use durchzusetzen, speichern wir pro Konto einen kleinen Satz abstrahierter Signale. Sie sind mit deiner Konto-Kennung verknüpft und damit pseudonyme Personendaten, enthalten aber keine Namen und keine Inhalte: einen täglichen Herzschlag mit der Plattform, der App-Version und einem auf unserem Server ermittelten Ländercode; App-Öffnungszahlen und Zeitstempel der letzten Aktivität; aggregierte KI-Nutzungszahlen (Token-Zahlen pro Konto, nie Nachrichteninhalte); eine abstrakte Persona-Zusammenfassung, die die App auf deinem Gerät berechnet (ein Archetyp-Wort plus grobe Merkmale wie Aktivitätslevel, häufigste Sportarten, Ess-Konstanz, Schlafmuster, aktuelle Phase, optional selbst angegebenes Geschlecht, Land und Zeitzone); Einladungs- und Gutschein-Zuordnung; und deinen Abo-Plan.

Ausdrücklich nicht in lesbarer Form auf unseren Servern: deine Chats und dein Gesprächsverlauf, deine Gesundheits-Logs, Katas Gedächtnis über dich und dein Entscheidungs-Log. Deine Fotos werden nie auf unseren Servern gespeichert. Der Rest erreicht uns nur im verschlüsselten Konto-Snapshot aus Ziffer 7, als Ciphertext, den wir nicht öffnen können. Die Persona-Zusammenfassung wird auf deinem Gerät berechnet, und keines der hier aufgeführten Signale lässt sich nutzen, um irgendetwas davon zu rekonstruieren. Rechtsgrundlage: unser berechtigtes Interesse am Betrieb und an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO; Schweizer DSG).

Zwei weitere Dinge auf unseren Servern sind aus Gesundheitsnutzung abgeleitet, ohne Produktsignale zu sein, denn sie bestehen nur so lange, wie du sie verlangst: der tägliche Ja-oder-Nein-Wert von Kata Duo (Ziffer 14) und die versiegelte Übersicht einer sicheren Freigabe (Ziffer 15). Sie stehen hier, damit diese Ziffer ein vollständiges Bild dessen bleibt, was wir halten, und beide sind in ihrer eigenen Ziffer vollständig beschrieben.

10 Einwilligungsnachweise

Wenn du die Nutzungsbedingungen akzeptierst oder in der App eine Einwilligung erteilst, speichern wir den Nachweis dieser Annahme: die Version des Dokuments, den Zeitstempel, die Oberfläche (Web, iOS oder Android) und die Sprache, in der du akzeptiert hast. Diese Nachweise belegen den Vertragsschluss und die von dir erteilten Einwilligungen. Rechtsgrundlage: Vertragserfüllung und Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO; Schweizer DSG). Sie werden aufbewahrt, solange dein Konto besteht. Löschst du dein Konto, werden sie getrennt von allem anderen aufbewahrt, nur noch verknüpft mit dem schlüsselbasierten Fingerabdruck deiner E-Mail-Adresse (Ziffer 6) und deiner früheren Konto-ID, zehn Jahre lang, die allgemeine Verjährungsfrist des Schweizer Rechts, und danach gelöscht.

11 Mobile-Apps: Berechtigungen und Push-Mitteilungen

• Push-Mitteilungen: Aktivierst du sie, wird ein an dein Konto gebundener Push-Token deines Geräts bearbeitet, um Mitteilungen zuzustellen, über Google Firebase Cloud Messaging auf iOS und Android (auf iOS stützt es sich darunter auf den Apple Push Notification Service). Der Token ist eine Kennung, die ausschliesslich der Zustellung der von Kata verfassten Mitteilungen dient: nie für Tracking oder Werbung, wir betreiben kein Firebase Analytics, und an Firebase gehen keine personenbezogenen oder Gesundheitsdaten, nur der Token und der Mitteilungstext. Tokens werden gelöscht, wenn du Mitteilungen deaktivierst oder dein Konto löschst. Damit Mitteilungen so ankommen, wie du sie eingestellt hast, speichern wir ausserdem deine Mitteilungseinstellungen mit deinem Konto: die gewählten Kategorien, Ruhezeiten, die Häufigkeit, deine Sprache und deine Zeitzone. Ein Versandprotokoll, das festhält, welche Mitteilung wann versendet wurde, wird 21 Tage aufbewahrt, damit nichts doppelt ankommt.
• Backup-Datei (iOS): Die iOS-App schreibt ein Backup deiner lokalen Kata-Daten, Fotos inklusive und HealthKit-Werte ausgenommen, als Datei in den eigenen Dokumente-Ordner der App auf deinem iPhone. Es wird nicht an uns gesendet, und Kata speichert nichts in deiner persönlichen iCloud. Ist das eigene iCloud-Geräte-Backup deines iPhones eingeschaltet, nimmt Apple diese Datei wie alle anderen App-Daten darin auf, unter deinem Apple-Konto und nach Apples Bedingungen. Du kannst auch selbst eine Kopie exportieren.
• Backup-Dateien und Google-Backup (Android): Die Android-App schreibt Backups deiner lokalen Kata-Daten, Fotos inklusive und Health-Connect-Werte ausgenommen, als Dateien in ihren eigenen privaten Speicher auf deinem Handy, einmal pro Woche, sofern du keine andere Häufigkeit wählst. Sie werden nicht an uns gesendet. Ist das eigene Backup von Android in dein Google-Konto eingeschaltet, nimmt es diese Dateien mit und sonst nichts von Kata: Der laufende Speicher der App, der die Health-Connect-Werte enthält, bleibt draussen, ebenso die vom Android Keystore versiegelte Kopie des Snapshot-Schlüssels (Ziffer 7). Dieses Backup liegt unter deinem Google-Konto und unterliegt Googles Bedingungen. Ziehst du direkt auf ein eigenes neues Handy um, per Kabel oder über WLAN, überträgt Android die Backup-Dateien und den laufenden Speicher der App, ohne sie irgendwo dazwischen zu speichern. Du kannst auch selbst eine Kopie exportieren.
• Kamera, Mikrofon und Fotobibliothek: Der Zugriff erfolgt nur, wenn du aktiv ein Foto aufnimmst oder anhängst, einen Barcode scannst oder mit Kata sprichst. Der Zugriff geschieht lokal auf deinem Gerät; Inhalte werden nur in dem Moment übermittelt, in dem du sie an Kata sendest (Ziffer 8), und werden von uns nicht gespeichert. Wenn du sprichst, wird deine Sprache in Text umgewandelt: durch die Spracherkennung von Apple (iOS), durch die Spracherkennung deines Handys (Android), die auf den meisten Android-Handys von Google stammt und das Audio auf Servern von Google bearbeiten kann, oder durch die Spracherkennung deines Browsers (Web). Jede davon kann das Audio nach den eigenen Bedingungen ihres Anbieters bearbeiten; Kata erhält nur den daraus entstehenden Text.
• Barcode-Scanner: Barcodes werden auf deinem Gerät von Google ML Kit gelesen, und dafür wird kein Kamerabild irgendwohin gesendet. Um das Produkt nachzuschlagen, sendet dein Gerät anschliessend die Barcode-Nummer an Open Food Facts, das, wie bei jeder Web-Anfrage, auch deine IP-Adresse erhält. Der Score wird auf deinem Gerät berechnet.
• Apple HealthKit und Google Health Connect: Gesundheitsdaten, die du selbst zum Import auswählst, bleiben wie alle Gesundheitsinhalte auf deinem Gerät (Ziffer 7). Wenn du Kata eine Frage stellst, werden die Werte, die diese Frage braucht, mit ihr an unseren KI-Anbieter gesendet, um sie zu beantworten (Ziffer 8). Wir speichern sie nie auf unseren Servern, verkaufen sie nie und verwenden sie nie für Werbung.
• Google Health Connect (Android): Verbindest du es, liest Kata von diesen Typen diejenigen, die du erlaubst, und schreibt nie etwas hinein: Schritte, aktive Energie, Distanz, Trainings mit ihrer Herzfrequenz, Gewicht, Grösse, Schlaf mit seinen Phasen, Ruhepuls und Herzfrequenzvariabilität. Kata liest nur, solange die App offen ist, und nicht weiter zurück als 30 Tage vor deiner ersten Erlaubnis, weil Kata bei Health Connect keine ältere Historie anfragt. Die Werte liegen im lokalen Speicher der App auf deinem Handy. Sie kommen nie ins Google-Backup oder in den verschlüsselten Snapshot und fliessen nie in die Persona-Zusammenfassung aus Ziffer 9 ein. Dein Handy verlassen sie nur mit einer Frage an Kata, die sie braucht, und zwar mit ihr an unseren KI-Anbieter, genau wie Werte aus Apple Health (Ziffer 8), oder in einem Export oder einer direkten Übertragung auf ein neues Handy, die du selbst startest. Trennst du die Verbindung in der App, gibt Kata seine Berechtigungen an Health Connect zurück und entfernt, wenn du das wählst, die importierten Werte aus Kata; du kannst den Zugriff auch jederzeit in Health Connect entziehen.
• Apple-Watch-App: Die Watch-App meldet sich an, indem sie die Sitzung deines gekoppelten iPhones übernimmt, oder mit einer Anmeldung per E-Mail, wo das nicht möglich ist. Sie liest HealthKit-Daten auf der Uhr, etwa Herzfrequenz und HRV, um dir zu antworten, und schreibt nie hinein. Eine Frage, die du auf der Uhr stellst, wird mit den Werten, die sie braucht, genau wie eine Nachricht in der App an unseren KI-Anbieter gesendet (Ziffer 8).
• Die im Apple App Store und bei Google Play angezeigten Privacy-Labels beschreiben dieselben Praktiken wie diese Erklärung. Sollten ein Label und diese Erklärung je voneinander abzuweichen scheinen, ist diese Erklärung die massgebende Beschreibung dessen, was wir tun.

12 WHOOP-Integration

Die Verbindung mit WHOOP ist optional. Die OAuth-Tokens werden auf deinem Gerät gespeichert, für Skripte unlesbar, wo die Plattform das erlaubt, und an dein Kata-Konto gebunden, sodass sie nur für das Konto funktionieren, das sie verbunden hat; sie werden in keiner Server-Datenbank gespeichert. Sie werden ausschliesslich dafür verwendet, deine Erholungs-, Schlaf-, Belastungs-, HRV-, Ruhepuls-, Hauttemperatur- und Workout-Daten über unseren Server von der WHOOP-API (WHOOP, Inc., USA) abzurufen, der die Daten an dein Gerät weitergibt, ohne sie zu speichern. Wenn du Kata eine Frage stellst, werden die WHOOP-Werte, die sie braucht, als Kontext mit ihr an unseren KI-Anbieter gesendet (Ziffer 8). Du kannst die Verbindung jederzeit in der App oder in deinen WHOOP-Kontoeinstellungen widerrufen.

13 Freunde einladen

Lädst du einen Freund ein, bearbeiten wir die eingeladene E-Mail-Adresse und den Stand der Belohnung (verschenkte und verdiente Monate), um «Freunde einladen» zu betreiben. Eingeladene Adressen werden nur für die Einladung und die Zuordnung der Belohnung verwendet, nie für Marketinglisten.

14 Kata Duo und Kata Groups

Kata Duo ist freiwillig und entsteht erst, wenn du es startest: Du teilst einen Einladungslink, und wer ihn annimmt, wird eine oder einer von höchstens fünf Duo-Partnern. Für eine Verbindung speichern wir die beiden Konto-IDs, den zufälligen Einladungscode, ob die Verbindung noch offen oder aktiv ist, je ein Kennzeichen pro Seite, um einen Partner im eigenen Profil auszublenden sowie die Zeitpunkte von Erstellung und Beitritt. Der Name, den du jemandem gibst, gehört nicht dazu: Er bleibt auf dem Gerät, auf dem du ihn getippt hast, dein Gegenüber sieht ihn nie, und wir auch nicht.

Geteilt wird genau eine Zeile pro Person und Tag, mit deiner Konto-ID, dem Datum und einem einzigen Ja-oder-Nein-Wert: ob du an diesem Tag deine Form gehalten hast. Diesen Wert berechnet dein Gerät aus deinem eigenen lokalen Tag, und er sagt nichts darüber aus, was du getan hast. Kein Eintrag, keine Zahl, kein Score, keine Serie, kein Inhalt irgendeiner Art und nichts darüber, was gehalten wurde. Ein Tag ohne Eintrag erzeugt gar keine Zeile, und deshalb ist der dritte Zustand, den dein Gegenüber sieht, ein ehrliches Grau statt einer Behauptung. Lesen kann deine Zeilen nur ein Konto, mit dem du aktiv verbunden bist, und diese Grenze setzt die Datenbank selbst durch; beendet eine der beiden Seiten das Duo, verschwinden Verbindung und Sichtbarkeit sofort, in beide Richtungen.

Rechtsgrundlage: deine Einwilligung, erteilt beim Erstellen oder Annehmen einer Duo-Einladung und widerrufen durch das Beenden des Duos (Art. 6 Abs. 1 lit. a und, weil der Wert aus deiner Gesundheitsnutzung abgeleitet ist, Art. 9 Abs. 2 lit. a DSGVO; Schweizer DSG). Aufbewahrung: Die App löscht deine eigenen Zeilen im Rahmen ihres täglichen Schreibvorgangs, sobald sie älter als 21 Tage sind, sodass jederzeit höchstens rund drei Wochen an Ja-oder-Nein-Werten bestehen. Das Beenden eines Duos entfernt die Verbindung sofort, und mit der Löschung deines Kontos geht alles davon.

Kata Groups ist derselbe Mechanismus für mehr als zwei Personen und hält nicht mehr fest als Kata Duo. Wenn du eine Gruppe startest, speichern wir eine Gruppen-ID, einen Gruppennamen und ein Label für die eine Sache, die die Gruppe verfolgt, die zufälligen Einladungscodes und, pro Mitglied, eine Konto-ID, einen Anzeigenamen für die Gruppe und ob dieses Mitglied seinen Wert vor der Gruppe verbirgt. Was eine Gruppe teilt, ist derselbe einzelne Ja-oder-Nein-Wert pro Mitglied und Tag, ob dieses Mitglied den Tag gehalten hat, und nichts darüber, was jemand getan hat: kein Log, keine Zahl, kein Score, kein Inhalt irgendeiner Art. Nur Mitglieder einer Gruppe können deren Zeilen lesen, und diese Grenze wird in der Datenbank selbst durchgesetzt. Ob du deinen Wert vor einer Gruppe verbirgst, weisst nur du: Den anderen Mitgliedern wird diese Wahl nie gezeigt, und für sie sieht ein verborgener Wert genau so aus wie ein Tag ohne Eintrag. Deine Werte und deine Mitgliedschaft gehen in dem Moment, in dem du die Gruppe verlässt oder dein Konto löschst. Die Rechtsgrundlage und die Herleitung des Werts aus deiner Gesundheitsnutzung sind dieselben wie bei Kata Duo oben.

15 Sichere Freigabe an eine Ärztin, einen Arzt oder eine Person deiner Wahl

Du kannst eine Übersicht mit genau dem, was du auswählst, an eine Person senden, die du benennst, meist an eine Ärztin oder einen Arzt. Das passiert nur, wenn du es verlangst, und es passiert so. Die Übersicht entsteht auf deinem Gerät und wird dort mit AES-256-GCM verschlüsselt. Der Schlüssel liegt im Freigabelink selbst, in dem Teil der Adresse, den Browser nie an einen Server senden. Diesen Link setzt dein Gerät zusammen, und du schickst ihn selbst, von deinem Gerät aus, in der Nachricht und über den Weg, den du wählst: Weder der Link noch der Schlüssel läuft je über unsere Server. Wir speichern eine Zeile pro Freigabe: den Geheimtext, deine Konto-ID als Eigentümerin, einen gesalzenen SHA-256-Hash der E-Mail-Adresse der Empfängerin oder des Empfängers, das Ablaufdatum sowie die Zeitpunkte der Erstellung und des ersten Öffnens.

Die Adresse selbst speichern wir nicht, nur diesen Hash, gesalzen mit der Kennung der Freigabe, damit er nicht gegen eine Liste gängiger Adressen aufgelöst werden kann. Er existiert, damit der Zugangscode genau im eingeladenen Postfach landet und in keinem anderen. Eine Einladung verschicken wir selbst nicht: Die einzige E-Mail, die wir für eine Freigabe senden, ist dieser Zugangscode, wenn die Empfängerin oder der Empfänger ihn anfordert. Zum Öffnen bestätigt die eingeladene Person ihre Adresse mit einem 6-stelligen Code, deshalb halten wir auch die Buchführung, die diese Prüfung braucht: einen Hash des aktiven Codes, dessen Gültigkeit von zehn Minuten, die Zahl der Fehlversuche dagegen, die bei fünf gedeckelt ist, die Zahl der versendeten Codes und den Zeitpunkt des letzten. Der Code gilt einmal, und der Code selbst wird nie gespeichert. Alles Übrige ist Geheimtext: Wir haben keine technische Möglichkeit, die Übersicht zu lesen, und ohne den Link hat sie auch sonst niemand.

Rechtsgrundlage: deine Einwilligung, erteilt bei jeder Freigabe und widerrufen durch deren Rückzug (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO; Schweizer DSG). Aufbewahrung: Eine Freigabe läuft 14 Tage nach dem Erstellen ab, und eine abgelaufene Zeile wird beim nächsten Zugriff vollständig gelöscht. Du kannst eine Freigabe jederzeit in der App zurückziehen, was die Zeile samt Geheimtext löscht, und mit deinem Konto gehen auch die Freigaben. Ist eine Freigabe beendet, behalten wir nur ihre zufällige Kennung und den Zeitpunkt ihres Endes, mit niemandem verknüpft, damit ihr Link nie wieder etwas öffnet. Das Erstellen ist auf zehn Freigaben pro Konto und Tag begrenzt.

16 Zahlungs- und Abo-Daten

Nimmst du einen bezahlten Plan, bearbeiten wir die für dein Abo nötigen Daten: deinen Plan und seinen Status, den Abrechnungszeitraum, die für die Steuer verwendete Währung und das Land, eine Kunden- und Abo-Kennung sowie eine Aufzeichnung von Zahlungen und Erstattungen. Wir erhalten oder speichern deine vollständige Kartennummer nicht; die Kartendaten werden vom Zahlungsdienstleister bearbeitet.

• Web-Käufe: Zahlungen werden von Stripe (Stripe Payments Europe, Ltd., Irland, mit Stripe, Inc., USA) abgewickelt, das deine Kartendaten verarbeitet und die anwendbare Steuer berechnet. Wir erhalten die Bestätigung des Abos und die oben genannten begrenzten Abrechnungsdaten, nie die vollständige Kartennummer.
• App-Store-Käufe, in der iOS-App ab der iPhone-Version 1.0.1: Apple ist der Verkäufer und wickelt die Zahlung ab; wir erhalten den verifizierten Abo-Status (Produkt, Zeitraum, Verlängerung und Kündigung), der zum Freischalten deines Plans nötig ist, nicht deine Zahlungsdaten.
• Google-Play-Käufe, in der Android-App ab einer späteren Version: Google ist der Verkäufer und wickelt die Zahlung ab; wir erhalten den verifizierten Abo-Status, der zum Freischalten deines Plans nötig ist, nicht deine Zahlungsdaten.

Rechtsgrundlage: Erfüllung deines Abo-Vertrags und Einhaltung unserer gesetzlichen Pflichten, einschliesslich der steuer- und buchführungsrechtlichen Aufbewahrung (Art. 6 Abs. 1 lit. b und c DSGVO; Schweizer DSG). Abrechnungsunterlagen werden für die gesetzlichen Aufbewahrungsfristen aufbewahrt.

Corporate Wellness: Übernimmt eine Organisation wie dein Arbeitgeber deinen Plan, speichern wir deine Mitgliedschaft in dieser Organisation (die E-Mail-Adresse, die sie eingeladen hat, ob der Platz eingeladen, beigetreten oder entfernt ist, das Datum jedes dieser Schritte und den Plan, den ihr Vertrag gewährt), damit die Abdeckung angewendet und wieder entzogen werden kann. Bei einer Einladung per E-Mail speichern wir zudem, wann sie zuletzt verschickt wurde und wie oft. Wir führen ein Protokoll jeder Änderung an der Mitgliedschaft (Einladung, Beitritt, Austritt, Entfernung) und am Vertrag der Organisation, damit Plätze und Rechnungen geprüft werden können; es enthält Kontokennungen, nie deine E-Mail-Adresse und nichts über deine Gesundheit. Über eine einzelne Person sieht die verantwortliche Person der Organisation ausschliesslich die Mitgliedschaft: für jede Person, die sie eingeladen hat, die eingeladene E-Mail-Adresse (wer per Link oder Code beigetreten ist, erscheint ohne), ob der Platz eingeladen, beigetreten oder entfernt ist, das Datum dieser Schritte und bei einer offenen Einladung, ob sie abgelaufen ist oder zurückgezogen wurde und wann und wie oft sie verschickt wurde. Für die Gruppe sieht sie die belegten Plätze im Verhältnis zu den Plätzen, die der Vertrag abdeckt, sowie Aktivierung und Engagement als Zahlen. Jede Zahl zur Aktivität wird nur aus Mitgliedern berechnet, die ihre E-Mail-Adresse bestätigt und Kata im gezeigten Zeitraum tatsächlich genutzt haben, nie aus den verantwortlichen Personen selbst, und sie erscheint erst, wenn mindestens fünf solche Mitglieder dahinterstehen, damit niemand herausgegriffen werden kann. Die Organisation sieht nie deine Gesundheitsdaten, deine Logs, deine Chats oder Katas Gedächtnis über dich: Nichts davon liegt in lesbarer Form auf unseren Servern, für die Organisation so wenig wie für uns. Rechtsgrundlage: Erfüllung des Vertrags, der deinen Platz abdeckt (Art. 6 Abs. 1 lit. b DSGVO; Schweizer DSG). Verlässt du die Organisation oder wirst du entfernt, endet die Abdeckung, und deine eigenen Daten bleiben unberührt.

Geschenke. Wenn du Kata Plus verschenkst, bearbeiten wir, was du dafür eingibst: die Dauer, das Kartendesign und seine Sprache, deinen Namen und den Namen der beschenkten Person, wie sie auf der Karte stehen sollen, deine Nachricht, wie das Geschenk ankommt, die E-Mail-Adresse der beschenkten Person, falls wir es per E-Mail schicken, und den Versandtag. Der Zahlungsdienstleister gibt uns deine E-Mail-Adresse und deinen Namen für die Quittung und, bei einer Karte per Post, die Postadresse. Bist du angemeldet, wird das Geschenk mit deinem Konto verknüpft, damit du es dort siehst. Anders als deine Gesundheitsdaten liegt ein Geschenk auf unseren Servern (Supabase, Region Zürich), weil die beschenkte Person es von dort öffnet. Wir verwenden es nur, um das Geschenk zuzustellen: um der Person, die es öffnet, die Karte und deine Nachricht anzuzeigen, um es per E-Mail zu schicken, um die Karte zu drucken und zu verschicken, um dir die Quittung und die Hinweise zu senden, dass es eingelöst und die Karte verschickt wurde, und um Erstattungen und Fragen zu bearbeiten. Du erfährst nur, dass dein Geschenk eingelöst wurde und wann, nie etwas über das Konto, das es eingelöst hat. Rechtsgrundlage: der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO; Schweizer DSG).

Ein Geschenk bekommen. Schenkt dir jemand etwas per E-Mail, verwenden wir deine E-Mail-Adresse und den Namen, den die Person geschrieben hat, nur für diese eine Geschenk-E-Mail und ihre Nachricht nur, um sie dir zu zeigen; deine Adresse kommt auf keine Liste. Wenn du das Geschenk einlöst, halten wir fest, welches Konto es eingelöst hat und wann, damit die Monate gutgeschrieben werden. Wir lesen die Nachricht zu keinem anderen Zweck und verwenden sie nie für das Coaching, die Personalisierung oder Werbung. Rechtsgrundlage: unser berechtigtes Interesse, ein für dich gekauftes Geschenk zuzustellen (Art. 6 Abs. 1 lit. f DSGVO; Schweizer DSG), und der Vertrag mit dir, sobald du es einlöst (Art. 6 Abs. 1 lit. b DSGVO).

17 Empfänger und Übermittlungen ins Ausland

• Supabase (Authentifizierung sowie die Datenbank mit den in dieser Erklärung beschriebenen operativen Aufzeichnungen, dem verschlüsselten Konto-Abbild der Web-App und der Android-App, den Verbindungen und Tageswerten von Kata Duo und Kata Groups und den versiegelten sicheren Freigaben): Projekt in der Schweiz gehostet, Region Zürich.
• Anthropic (KI-Verarbeitung für den Coach): USA; Anfragen werden nicht für Training verwendet und innerhalb von 30 Tagen gelöscht.
• ElevenLabs (Kata-Stimmen, nur in den bezahlten Plänen: das Vorlesen deines Wochenrückblicks und deiner Briefe, Méganes gelegentliche Sprachnachrichten und die gesprochenen Antworten, wenn du Talk mit Kata nutzt): USA, nur flüchtige Verarbeitung, der Text wird zu Audio und nicht gespeichert.
• Resend (Transaktions-E-Mails, einschliesslich des Zugangscodes einer sicheren Freigabe): USA.
• Vercel (Hosting): EU und USA.
• Stripe (Zahlungsabwicklung für Web-Käufe, Geschenke eingeschlossen): Stripe Payments Europe, Ltd., Irland, mit Bearbeitung durch Stripe, Inc., USA.
• Die Post, die eine gedruckte Geschenkkarte befördert (die Schweizerische Post und der Postdienst des Ziellandes), nur mit der Karte, der Nachricht und der Postadresse.
• Apple und Google (Zahlungs- und Abo-Abwicklung für Käufe im App Store und bei Google Play, sobald die Apps sie anbieten): USA.
• Google Analytics (aggregierte Messung der Website-Nutzung, nur mit deiner Einwilligung): Google Ireland Limited, Irland, mit Bearbeitung durch Google LLC, USA.
• Google / Firebase Cloud Messaging (Zustellung des Push-Tokens auf iOS und Android; kein Analytics): USA.
• Apple (Apple Push Notification Service als Grundlage der iOS-Push-Mitteilungen, «Anmelden mit Apple» samt privatem E-Mail-Relay, die Spracherkennung in der iOS-App und dein eigenes iCloud-Geräte-Backup, das die Backup-Datei der App enthalten kann): USA.
• Google («Mit Google anmelden» und in der Android-App: die Spracherkennung des Handys, wo Google sie bereitstellt, Google Block Store, der den Snapshot-Schlüssel mit deinem Google-Konto aufbewahrt, und dein eigenes Google-Geräte-Backup, das die Backup-Dateien der App enthalten kann): USA.
• Die Spracherkennung deines Browsers (Spracheingabe in der Web-App), bereitgestellt vom Hersteller des Browsers nach dessen eigenen Bedingungen.
• Google ML Kit (Barcode-Lesen für den Scanner): läuft auf deinem Gerät; dafür wird kein Kamerabild gesendet.
• Open Food Facts (Produktsuche für den Scanner, von deinem Gerät aus mit dem Barcode und deiner IP-Adresse gesendet): Frankreich.
• WHOOP (die WHOOP-API, nur wenn du WHOOP verbindest): USA.

Wo Daten Anbieter in den USA erreichen, ist die Übermittlung durch die EU-Standardvertragsklauseln und, wo zertifiziert, das Swiss-U.S. Data Privacy Framework abgesichert. Wir verkaufen und vermieten keine Personendaten, und weitere Empfänger existieren nicht.

18 Aufbewahrung

Kontodaten werden aufbewahrt, solange dein Konto besteht, und gelöscht, wenn du das Konto löschst, ausser den schlüsselbasierten Fingerabdrücken aus Ziffer 6, die 24 Monate nach der Löschung aufbewahrt und dann gelöscht werden. Einwilligungsnachweise werden aufbewahrt, solange dein Konto besteht, und nach seiner Löschung zehn Jahre lang, nur noch verknüpft mit dem schlüsselbasierten Fingerabdruck deiner E-Mail-Adresse und deiner früheren Konto-ID (Ziffer 10). Formular-Korrespondenz wird so lange aufbewahrt, wie es die Bearbeitung des Anliegens erfordert. Aggregierte Token-Zahlen werden für die Kostenabrechnung aufbewahrt. Abrechnungs- und Zahlungsunterlagen werden für die gesetzlichen steuer- und buchführungsrechtlichen Aufbewahrungsfristen aufbewahrt. Push-Tokens werden gelöscht, wenn Mitteilungen deaktiviert werden oder das Konto gelöscht wird; Mitteilungseinstellungen werden aufbewahrt, solange dein Konto besteht, und das Versandprotokoll 21 Tage. Unser KI-Anbieter löscht die Anfragen, die er bearbeitet, innerhalb von 30 Tagen. Der tägliche Herzschlag und die Persona-Signale aus Ziffer 9 werden aufbewahrt, solange dein Konto besteht, und mit ihm gelöscht. Gesundheitsdaten auf deinem Gerät verwahrst allein du. Der verschlüsselte Konto-Snapshot (Ziffer 7) ist eine einzige Zeile, die jedes Backup überschreibt und die mit deinem Konto gelöscht wird; eine lesbare Kopie deiner Gesundheitsdaten halten wir zu keinem Zeitpunkt. Kata-Duo-Werte werden gelöscht, sobald sie älter als 21 Tage sind, und eine Verbindung geht mit allen ihren Werten in dem Moment, in dem eine Seite das Duo beendet (Ziffer 14). Eine sichere Freigabe läuft 14 Tage nach dem Erstellen ab, und ihre Zeile samt Geheimtext wird dann gelöscht oder in dem Moment, in dem du sie zurückziehst; zurück bleibt nur ihre zufällige Kennung, mit niemandem verknüpft, damit ihr Link nie wieder öffnet (Ziffer 15). Der Datensatz eines Geschenks (sein Code, die Dauer, was bezahlt wurde, die E-Mail-Adresse der kaufenden Person und die Datumsangaben) wird für die gesetzliche Aufbewahrungsfrist der Buchführung aufbewahrt. Die Namen, die Nachricht und die E-Mail-Adresse der beschenkten Person werden 90 Tage nach dem Einlösen oder der Erstattung gelöscht oder wenn das Geschenk uneingelöst verfällt; eine Postadresse 90 Tage nach dem Versand der Karte. Wird das Konto gelöscht, das ein Geschenk eingelöst hat, wird die Verknüpfung des Geschenks mit ihm entfernt (Ziffer 16).

19 Sicherheit und Datenvorfälle

Jeder Transport ist verschlüsselt (TLS). Der Server hält das oben beschriebene Minimum an Daten, geschützt durch Zugriffskontrollen und die Sicherheitsprogramme unserer Auftragsbearbeiter. Die stärkste Massnahme ist architektonisch: Deine Gesundheitsinhalte liegen entweder gar nicht auf unseren Servern oder dort nur als Ciphertext, für den wir keinen Schlüssel haben, ein Vorfall auf unserer Seite kann sie also nicht offenlegen.

Sollte ein Sicherheitsvorfall dennoch Personendaten betreffen, die wir halten, beurteilen wir ihn ohne unbegründete Verzögerung und benachrichtigen die zuständige Aufsichtsbehörde und, wo erforderlich, die betroffenen Personen, gemäss Art. 24 DSG und, wo anwendbar, Art. 33 und 34 DSGVO.

20 Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung und Übertragbarkeit deiner Personendaten sowie das Recht, der Bearbeitung zu widersprechen. Da fast alle Daten auf deinem Gerät leben, liegen die meisten dieser Rechte in deiner eigenen Hand: Exportiere, korrigiere oder lösche deine Daten direkt in der App. Für alles rund um dein Konto oder ein abgeschicktes Formular schreib an contact@yourkata.com. Du kannst dich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren oder, wo die DSGVO gilt, bei deiner lokalen Aufsichtsbehörde.

21 Änderungen

Wir aktualisieren diese Erklärung, wenn sich der Dienst ändert. Die aktuelle Version mit Datum ist immer auf dieser Seite veröffentlicht. Wesentliche Änderungen werden in der App angekündigt.

22 Anwendbares Recht

Diese Erklärung und jede Datenschutz-Streitigkeit unterstehen Schweizer Recht. Die technische Sicht auf dieselben Fakten steht in den Docs unter Deine Daten.