Sicherheit

Privat durch Architektur.

Ein Gesundheitscoach funktioniert nur, wenn du ihm alles erzählen kannst. Darum sagt diese Seite klar, was auf deinem Gerät bleibt, was es verlässt und warum, und wie alles geschützt ist, was sich bewegt. Jede Aussage hier beschreibt, wie Kata wirklich gebaut ist, nicht, wie wir hoffen, dass es sich verhält.

Auf deinem Gerät

Was auf deinem Gerät liegt.

Deine persönlichen Inhalte werden auf dein Gerät geschrieben, in den eigenen lokalen Speicher der App. Nichts davon läuft durch eine Kata-Inhaltsdatenbank, denn es gibt keine. In der Web-App und in der Android-App reist zusätzlich eine Kopie zur Wiederherstellung mit, und sie verlässt dein Gerät bereits versiegelt: Sie hat weiter unten einen eigenen Abschnitt.

Deine Gesundheitseinträge

Mahlzeiten, Wasser, Workouts, Wiegen, Schlaf, Supplemente, Tracker und deine Abendrückblicke, Stimmung eingeschlossen.

Deine Gespräche

Jeder Chat mit Kata und das Gedächtnis aus übernommenen Fakten, das Kata mit dir aufbaut.

Deine Fotos

Fortschritts- und Essensfotos leben in der lokalen Datenbank des Geräts, nie in unserer. Die versiegelte Kopie aus der Web-App und der Android-App lässt sie ganz aussen vor; auf dem iPhone und auf Android bleiben sie in den Backup-Dateien, die dein Handy behält.

Das besonders Private

Gesundheitsthemen, Medikamentennamen, deine Zykluseinträge und Sensei-Briefe bleiben wie alles andere auf dem Gerät und werden obendrein mit besonderer Sorgfalt behandelt.

Deine Saisons und Wochen

Abgeschlossene Wochen, behaltene Saisons und jede Erkenntnis aus deinen Daten werden lokal berechnet und gespeichert.

Für dich einsehbar und löschbar

Die Seite «Was Kata über mich weiss» in der App listet jeden Fakt, den Kata kennt, mit seiner Quelle, und du kannst jeden davon löschen.

Über die Leitung

Was das Gerät verlässt, und warum.

Katas Server sind absichtlich langweilig: dein Konto und dein Plan, Einwilligungsnachweise, Mitteilungseinstellungen und das Push-Token, Nutzungszähler und pseudonyme Persona-Merkmale, die Duo- und Gruppenpunkte und die gesicherten Freigaben, die du erstellst, eine Firmenmitgliedschaft samt ihrem Verlauf, wenn ein Arbeitgeber deinen Plan übernimmt, ein Geschenk, das du machst oder bekommst (die Karte, die Namen und die Nachricht darauf, aufbewahrt bis 90 Tage nach dem Einlösen), und für die Web-App und die Android-App eine versiegelte Kopie zur Wiederherstellung. Nie deine Einträge, Chats, Fotos oder Katas Gedächtnis über dich. Das sind die Momente, in denen Daten unterwegs sind, immer über eine verschlüsselte Verbindung.

Wenn du mit Kata sprichst

Deine Nachricht und gerade genug Kontext, samt den Apple-Health-, Health-Connect- oder WHOOP-Werten, die eine Frage braucht, gehen an die KI, beantworten diese eine Anfrage und kommen zurück. Katas Server behalten keine Kopie: Bei uns bleibt eine inhaltsfreie Zeile mit der Zahl der Tokens und der Modellstufe. Der KI-Anbieter Anthropic trainiert nie mit diesen Daten und löscht sie innerhalb von 30 Tagen.

Dein Konto

Eine E-Mail-Adresse und eine Anmeldung, dein Plan und der Nachweis deiner Zustimmungen: genug, damit dein Konto existiert und wiederhergestellt werden kann. Löschst du dein Konto, verschwindet mit ihm jede operative Zeile über dich, ausser Abrechnungsnachweisen, dem Nachweis deiner Zustimmung und Einweg-Fingerabdrücken, die Gratisangebote auf einmal pro Person beschränken.

Ein täglicher Herzschlag

Einmal am Tag meldet die App, dass deine Plattform aktiv war, und sendet drei schlichte Fakten: Plattform, App-Version und einen auf unserem Server ermittelten Ländercode. Keine Gesundheitsdaten, kein Verhalten, nichts über deinen Tag.

Freigaben, Briefe und die versiegelte Kopie

Eine gesicherte Freigabe und die Existenz eines Briefs gehen nur raus, wenn du darum bittest. In der Web-App läuft die Kopie zur Wiederherstellung von selbst: nach einer Änderung höchstens jede Viertelstunde, und alle sechs Stunden, wenn sich nichts geändert hat, damit ein neuer Browser deine Geschichte mit deinem Wiederherstellungsschlüssel zurückbringen kann. Die Android-App macht es genauso. Sie wird auf deinem Gerät verschlüsselt, bevor sie losgeht: Über die Leitung gehen also verschlüsselte Daten.

Wenn Kata spricht

In den bezahlten Plänen wird der Text zum Vorlesen, für eine Sprachnotiz oder für eine gesprochene Talk-Antwort an einen Anbieter für Sprachausgabe gesendet, der daraus Audio macht. Das geschieht flüchtig: Nichts wird aufgezeichnet oder gespeichert.

Mitteilungen

Schaltest du sie ein, werden das Push-Token deines Geräts und deine Auswahl mit deinem Konto gespeichert: Kategorien, Ruhezeiten, Häufigkeit, deine Sprache und Zeitzone, damit eine Erinnerung zur richtigen Ortszeit ankommt. Ein kurzes Protokoll dessen, was gesendet wurde, bleibt 21 Tage gespeichert, damit nichts doppelt ankommt.

Die Massnahmen

So sind die beweglichen Teile geschützt.

Wo sich Daten bewegen, ist der Schutz strukturell: Verschlüsselung und Eigentumsregeln, die Teil des Codes sind, kein Versprechen auf Papier.

Verschlüsselt unterwegs

Jede Verbindung zwischen App, unseren Servern und der KI läuft über TLS. Einen unverschlüsselten Weg gibt es nicht.

Versiegelte Verbindungs-Tokens

Dein WHOOP-Login landet nie in einer Server-Token-Datenbank. Auf deinem Handy kommt das Token als versiegeltes, verschlüsseltes Paket zurück, das nur unsere Serverfunktionen öffnen können; im Web liegt es in einem httpOnly-Cookie.

Die verschlüsselte Freigabe

Wenn du Daten für deine Ärztin oder deinen Arzt freigibst, wird die Zusammenfassung auf deinem Gerät mit AES-256-GCM verschlüsselt. Der Schlüssel reist nur im Link selbst und wird nie an unsere Server geschickt oder dort gespeichert: Bei uns liegen der verschlüsselte Inhalt, ein gesalzener Hash der E-Mail-Adresse, an die du sendest, und ein Ablaufdatum.

Die versiegelte Kopie deines Kontos

Die Kopie zur Wiederherstellung aus der Web-App und der Android-App wird auf deinem Gerät mit AES-256-GCM verschlüsselt, bevor sie hochgeladen wird. Der Schlüssel ist ein zufälliger 256-Bit-Wert, der im sicheren Speicher deines Geräts und in deinem Wiederherstellungsschlüssel liegt, und er wird nie an uns gesendet: nicht in der Zeile, nicht in einer Spalte, nicht in einem Header. Gespeichert wird allein der versiegelte Umschlag, ohne Schlüssel, ohne Schlüsselkennung und ohne Prüfwert daneben, es gibt hier also nichts zu lesen und nichts, woran sich ein Rateversuch prüfen liesse.

Zugriff nur für dich

Jede operative Tabelle ist durch Row-Level-Security geschützt. Die eine Zeile mit Kontoinhalten, die versiegelte Kopie zur Wiederherstellung, ist fest an dein eigenes angemeldetes Konto gebunden: Kein anderes Konto kommt daran, und lesen kann sie niemand, auch wir nicht.

Backups

Dein Backup, in deinen Händen.

Backups gibt es, damit ein verlorenes Handy nie eine verlorene Geschichte bedeutet, und sie folgen denselben Eigentumsregeln wie alles andere.

  • Die iPhone-AppKata schreibt eine schlichte Backup-Datei in den eigenen Dokumente-Ordner der App, Fotos inklusive und Apple-Health-Werte ausgenommen, denn diese speichert Apple Health selbst. Das eigene iCloud-Backup deines iPhones nimmt diese Datei mit wie alle anderen App-Daten, so geschützt, wie Apple dieses Backup schützt, und du kannst jederzeit eine Kopie exportieren. Nichts davon erreicht unsere Server, und nichts stellt sich bei der Anmeldung von selbst wieder her.
  • Die Android-AppKata schreibt Backup-Dateien in seinen eigenen privaten Speicher auf deinem Handy, einmal pro Woche, sofern du nichts anderes wählst, Fotos inklusive und Health-Connect-Werte ausgenommen, und dein eigenes Google-Backup kann sie mitnehmen. Die Android-App speichert ausserdem eine versiegelte Kopie zur Wiederherstellung bei uns, genau wie die Web-App unten, und ihr Schlüssel liegt zusätzlich in deinem Google-Konto bereit, sodass ein neues Android-Handy, das mit diesem Konto eingerichtet wird, die Kopie ohne den Wiederherstellungsschlüssel öffnen kann.
  • Die Web-AppEin Browser hat keine private Cloud pro Person, auf die wir uns stützen könnten, deshalb speichert Kata eine Kopie zur Wiederherstellung pro Konto in unserer Datenbank: eine Zeile, per Row-Level-Security an dein Konto gebunden, ohne Fotos, nach einer Änderung höchstens jede Viertelstunde erneuert und sonst alle sechs Stunden. Sie wird auf deinem Gerät verschlüsselt, bevor sie es verlässt, mit einem Schlüssel, den wir nie bekommen: Die Zeile enthält also verschlüsselte Daten, die wir technisch nicht lesen können. Auf einem neuen Gerät öffnet sie dein Wiederherstellungsschlüssel, und wenn die Versiegelung nicht gelingt, wird gar nichts hochgeladen.
  • Meine Daten exportierenUnabhängig von beidem: eine vollständige Datei mit allem, erstellt auf deinem Gerät. Bewahre sie auf, wo du willst, importiere sie überall.

FAQ

Faire Fragen, klare Antworten.

Wo leben meine Daten wirklich?

Auf deinem Gerät. Einträge, Chatverlauf, Katas Gedächtnis über dich, Fotos und Integrations-Tokens werden auf dein Gerät geschrieben, nicht in eine Inhaltsdatenbank von uns. Zwei Dinge verlassen dein Gerät: deine Nachricht mit dem nötigen Kontext geht an die KI, um eine Antwort zu erzeugen, wobei Katas Server keine Kopie behalten und der KI-Anbieter sie innerhalb von 30 Tagen löscht, ohne damit zu trainieren; und, in der Web-App und in der Android-App, eine versiegelte Kopie deines Kontos zur Wiederherstellung, auf deinem Gerät verschlüsselt mit einem Schlüssel, den wir nie bekommen, sodass wir nur verschlüsselte Daten aufbewahren, die wir nicht öffnen können. So ist Kata gebaut, nicht bloss versprochen. Details im Daten- & Privatsphäre-Modell.

Was sieht der Server?
  • Die Grunddaten deines Kontos: E-Mail-Adresse und Zeitpunkte deiner Anmeldungen.
  • Wie oft die App geöffnet wird und wann sie zuletzt aktiv war.
  • Aggregierte KI-Nutzungszahlen für Fair Use: nie, was gesagt wurde.
  • Ein pseudonymes Bild von dir, das die App auf deinem Gerät berechnet und das mit deinem Konto verknüpft ist: ein Archetyp-Wort und grobe Merkmale wie Aktivitätslevel, Schlafmuster oder Phase. Nie Namen, Zahlen oder Inhalte.
  • Deinen Einladungsstatus, deinen Plan und den Stand deines Abos.
  • Deinen Push-Token und deine Mitteilungseinstellungen: Kategorien, Ruhezeiten, Häufigkeit, Sprache und Zeitzone, dazu ein 21-Tage-Protokoll dessen, was gesendet wurde.
  • Den Nachweis, welche Versionen der Nutzungsbedingungen und der Datenschutzerklärung du akzeptiert hast.
  • Falls du sie nutzt: den täglichen Ja-oder-Nein-Punkt eines Duos oder einer Gruppe, die versiegelten, sicheren Freigaben, die du erstellst, und deine Mitgliedschaft samt ihrem Verlauf (wann du eingeladen wurdest, beigetreten oder ausgetreten bist), wenn eine Firma deinen Plan übernimmt.
  • Wenn du ein Geschenk machst oder bekommst: seinen Code, seine Laufzeit und seine Karte, die Namen und die Nachricht darauf, wie es ankommt (die E-Mail-Adresse der beschenkten Person oder eine Postadresse) und wer es wann eingelöst hat. Die Namen, die Nachricht und die Adressen werden 90 Tage nach dem Einlösen gelöscht.
  • In der Web-App und in der Android-App eine Kopie deines Kontos zur Wiederherstellung: ein versiegeltes Paket, für das wir keinen Schlüssel haben.
  • Übliche technische Hosting-Logs (IP, Anfragezeit) bei Vercel.

Für uns nie lesbar: deine Chats, deine Einträge, Katas Gedächtnis über dich, deine Entscheidungen. Deine Fotos werden nie auf unseren Servern gespeichert. Was die Kopie zur Wiederherstellung enthält, ist verschlüsselt, auf deinem Gerät versiegelt mit einem Schlüssel, den wir nie bekommen: Wir können sie aufbewahren, aber nicht öffnen. Wir erstellen aus all dem nie ein Werbeprofil und verkaufen es nie. Die Marketing-Website nutzt eine einfache, aggregierte Besuchsanalyse, die du ablehnen kannst und die nichts davon je berührt.

Kann ich meine Daten exportieren oder löschen?

Ja. Die App hat einen vollständigen JSON-Export, den du am besten als eigenes Backup aufbewahrst, und eine Löschfunktion, die alles vom Gerät entfernt. Löschst du dein Konto, verschwinden der E-Mail-Eintrag und, bei der Web-App und der Android-App, die verschlüsselte Kopie mit. Behalte im Web und auf Android deinen Wiederherstellungsschlüssel: Die versiegelte Kopie öffnet sich nur mit deinem Geräteschlüssel oder diesem Wiederherstellungsschlüssel, und auch wir können sie nicht für dich öffnen.

Was passiert, wenn ich mit Kata rede?

Deine Nachricht wird zusammen mit dem minimalen Kontext, den die Antwort braucht, einschliesslich der Apple-Health-, Health-Connect- oder WHOOP-Werte, die eine Frage erfordert, verschlüsselt an unseren KI-Anbieter Anthropic gesendet, der sie beantwortet, nie damit trainiert und sie innerhalb von 30 Tagen löscht. Katas Server behalten keine Kopie. Deine Stimme wird von der Spracherkennung von Apple auf dem iPhone, der deines Handys auf Android oder der deines Browsers im Web in Text umgewandelt, bevor irgendetwas bei uns ankommt, und Fotos gehen nur an die KI, wenn du sie sendest.

Lernt Kata aus meinen Daten?

Ja, auf eine Art, auf die wir stolz sind. Kata lernt aus abstrakten Mustern, etwa «Wer morgens trainiert und einen stabilen Schlafrhythmus hat, hält seine Pläne durch», und so wird das Produkt für alle besser. Gelernt wird aus einer groben, pseudonymen Skizze (einem Archetyp und Merkmalen wie Aktivitätslevel oder Schlafmuster, mit deinem Konto verknüpft, aber nie mit deinen Inhalten), berechnet auf deinem Gerät. Nie aus deinen Chats, nie aus deinen Einträgen, nie aus deinen Fotos, nie aus irgendetwas, das deine Geschichte erzählt. Das alles bleibt bei dir, Punkt.

Was passiert mit meinen Daten, wenn ich mein Konto lösche?

Löschst du dein Konto, verschwinden deine E-Mail und deine Anmeldedaten aus unseren Systemen, mit allem, was daran hängt: dein Plan, deine Mitteilungseinstellungen, Duo- und Gruppenpunkte, Freigaben und, bei der Web-App und der Android-App, die verschlüsselte Kopie. Was bleibt: Abrechnungsbelege für die gesetzliche Aufbewahrungsfrist, der Nachweis deiner Zustimmung zehn Jahre lang und, 24 Monate lang, Einweg-Fingerabdrücke deiner E-Mail und deiner Anmeldung, damit der Gratismonat und die Einladungsbelohnungen an jede Person nur einmal gehen. Lesbar war dort nie etwas über deine Gesundheit. Das Zurücksetzen der App löscht deine lokalen Daten vollständig und sofort. Exportiere vorher, wenn du ein Backup willst.

Wie bleiben die Fortschrittsfotos privat?

Fortschrittsfotos werden auf dein Gerät geschrieben, wie alles Persönliche. Auf unseren Servern werden sie nie gespeichert: Die versiegelte Kopie aus der Web-App und der Android-App lässt sie ganz draussen, und sie dienen nichts anderem als deiner eigenen Vorher-nachher-Ansicht. Auf dem iPhone sind sie Teil der Backup-Datei, die das eigene iCloud-Backup deines Handys mitnimmt, und auf Android Teil der Backup-Dateien, die dein Google-Backup mitnehmen kann. Bittest du Kata, eines zu analysieren, geht das Bild nur für diese Antwort an den KI-Anbieter: Katas Server behalten keine Kopie, und der Anbieter löscht es innerhalb von 30 Tagen.

Welchen KI-Anbieter nutzt Kata, und wie lange wird eine Nachricht aufbewahrt?

Hinter dem Coach steht Anthropic: Deine Nachricht und der Kontext, den sie braucht, gehen dorthin, um die Antwort zu erzeugen. Anthropic nutzt sie nicht fürs Training und löscht sie innerhalb von 30 Tagen, und Katas eigene Server behalten keine Kopie des Gesprächs. ElevenLabs macht bei Kata Plus und Kata Unlimited aus dem, was Kata laut sagt, Audio in einer Kata-Stimme, der von Mégane oder einer anderen deiner Wahl, und bekommt nur den Text dieser Antwort.

Wie lösche ich mein Konto?

In der App: Öffne Profil, scrolle ganz nach unten, wähle Konto löschen und tippe zur Bestätigung DELETE ein. Dein Konto und seine Server-Einträge verschwinden sofort, ausser Abrechnungsbelegen, dem Nachweis deiner Zustimmung und Einweg-Fingerabdrücken, die Gratisangebote auf eines pro Person beschränken (siehe Konto löschen), und die Kata-Daten auf diesem Gerät werden gleich mit gelöscht. Exportiere vorher, wenn du eine Kopie behalten willst.

Alle Fragen

Das ganze Bild.

Das Datenmodell in den Docs lesenDatenschutzerklärung