Integritetspolicy.

1 Personuppgiftsansvarig

BSNS GmbH är personuppgiftsansvarig för den behandling som beskrivs i denna policy. Den omfattar webbplatserna yourkata.com och docs.yourkata.com, Kata-webbappen på app.yourkata.com samt Katas mobilappar för iOS och Android, inklusive Apple Watch-appen och de widgetar som följer med iOS-appen.

BSNS GmbH har inte utsett, och är inte skyldigt att utse, ett lagstadgat dataskyddsombud. I varje integritetsfråga är contact@yourkata.com den direkta vägen till de ansvariga.

2 Kortversionen

Dina hälsodata tillhör dig. Alla loggar, chattar, foton och Katas minne av dig skrivs till din enhet, inte till någon innehållsdatabas hos oss: i webbläsaren såväl som i mobilapparna. Vi riktar aldrig reklam mot dig, säljer aldrig data och profilerar aldrig dina hälsodata. Det enda vi mäter är enkel, aggregerad besöksanalys på den här marknadswebbplatsen (Google Analytics), som du kan avböja i bannern och som aldrig rör dina hälso- eller kontodata (avsnitt 4). Utöver e-postadressen och konto-ID:t som loggar in dig, och de driftsuppgifter som beskrivs i avsnitt 9 till 11 och 16, lämnar två saker din enhet: ditt meddelande till Kata, skickat till vår AI-leverantör för att skapa ditt svar, som inte använder det för träning och raderar det inom 30 dagar, medan vi inte behåller någon kopia av det; och, i webbappen och Android-appen, en återställningskopia av ditt konto, krypterad på din enhet innan den laddas upp, med en nyckel vi aldrig får. Den kopian håller vi som chiffertext, vi har inga tekniska möjligheter att öppna den, och dina foton finns aldrig i den (avsnitt 7). Två funktioner som du själv slår på lägger medvetet till mer: Kata Duo delar ett ja-eller-nej-värde om dagen med dem du bjuder in, och ingenting om vad du gjorde (avsnitt 14), och med en säker delning skickar du en sammanfattning som du själv sätter ihop till en person du anger: den förseglas på din enhet och länken till den skickas från din enhet, så den är oläsbar även för oss (avsnitt 15).

3 Rättslig ram

Vi behandlar personuppgifter i enlighet med den schweiziska dataskyddslagen (FADP, reviderad version i kraft sedan den 1 september 2023) och, där den gäller användare i Europeiska ekonomiska samarbetsområdet, EU:s allmänna dataskyddsförordning (GDPR). Där denna policy anger en rättslig grund avses art. 6.1 GDPR; enligt FADP omfattas den behandling som beskrivs här av principerna i art. 6 FADP och bygger inte på samtycke om inget annat anges.

4 Webbplatsbesök

• Analys: den här webbplatsen använder Google Analytics (tillhandahålls av Google Ireland Limited) för att mäta besök och trafik aggregerat: visade sidor, ungefärlig region från en förkortad IP-adress, enhets- och webbläsartyp, och hur du kom hit. Den sätter egna cookies. Detta är anonyma, aggregerade användningsdata enbart om webbplatsen; de kopplas aldrig till ditt Kata-konto och innehåller aldrig hälso- eller personliga kontodata. Det laddas bara om du accepterar i samtyckesbannern, och du kan avböja. Rättslig grund: ditt samtycke (art. 6.1 a GDPR; schweiziska FADP).
• Samtyckesbanner: analysen laddas först efter att du accepterat. Ditt val, accepterat eller avböjt, sparas som en enda flagga i din webbläsares localStorage, och tills du accepterar sätts inga analyscookies och inga analysdata skickas. Rensar du den lagringen kan du välja igen.
• Hosting: Vercel Inc., USA, levererar webbplatsen och behandlar tekniska serverloggar (IP-adress, tidpunkt för anropet, user agent) för att driva och skydda tjänsten (berättigat intresse). Behandlingen kan ske i EU och USA; överföringar täcks av EU:s standardavtalsklausuler och de schweiziska reglerna för gränsöverskridande dataflöden.
• Typsnitten hostar vi själva, och de levereras från samma hosting som sidorna. Ingen typsnittstjänst från tredje part kontaktas, och ingen förfrågan från dig når någon sådan.

5 Webbplatsformulär (kontakt och partnerskap)

Om du använder kontakt- eller partnerformuläret behandlar vi uppgifterna du skickar in (namn, e-postadress, ämne, företag där det anges, och ditt meddelande) för att besvara din förfrågan (fullgörande av ett avtal eller åtgärder innan ett avtal ingås; berättigat intresse för allmänna förfrågningar). Meddelandena levereras till våra brevlådor av Resend, Inc., USA, som agerar som vårt personuppgiftsbiträde, och sparas så länge som behövs för att hantera konversationen och eventuell uppföljning. Formulärdata används aldrig för reklam och delas aldrig utanför detta syfte.

6 Appen: kontodata

För att skapa och skydda ditt konto behandlar vi din e-postadress, en användaridentifierare (ditt konto-ID), autentiseringsmetod och autentiseringstidsstämplar, på varje yta (webben och mobilapparna). Autentiseringen tillhandahålls av Supabase, vårt personuppgiftsbiträde, med projektet hostat i Schweiz (regionen Zürich). Du kan logga in med e-post och lösenord, Google, Apple eller en magisk länk; när du använder en tredjepartsinloggning bekräftar den leverantören din identitet för oss och vi lagrar bara din e-postadress och detta konto-ID. Om du loggar in med Apple och väljer ”Dölj min e-post” ger Apple oss en privat reläadress i stället för din riktiga e-post; våra transaktionsmejl skickas till det reläet och vidarebefordras av Apple till dig. Supabase håller inga läsbara hälsodata. Vad som i övrigt ligger i den databasen beskrivs i avsnitt 7 och 9 till 16: den förseglade kopian från webbappen och Android-appen, som vi inte kan öppna, de driftsuppgifter som räknas upp där och, om du använder Kata Duo eller Kata Groups, ett ja-eller-nej-värde om dagen.

Den kostnadsfria provperioden av Kata Plus och belöningarna i Bjud in en vän (avsnitt 13) ges en gång per person. För att det ska gälla även efter att ett konto har raderats sparar vi nyckelbaserade fingeravtryck av det raderade kontots e-postadress och av de inloggningskonton hos Apple eller Google som var kopplade till det. Ett nyckelbaserat fingeravtryck är en HMAC, en envägshash som beräknas med en hemlig nyckel som vi har: den kan inte omvandlas tillbaka till adressen eller inloggningskontot, och det enda den kan visa är att samma värde har kommit tillbaka. Vi sparar dessa fingeravtryck i 24 månader efter raderingen och använder dem för ett enda syfte: att kontrollera om ett nytt konto tillhör någon som redan har haft provperioden eller en inbjudningsbelöning, och i så fall får det nya kontot ingetdera igen. Rättslig grund: vårt berättigade intresse av att förhindra missbruk av våra gratiserbjudanden (art. 6.1 f GDPR; schweiziska FADP).

7 Dina hälsodata och var de bor

Kata är local-first på varje yta. Alla hälsologgar (vikt, mat, vatten, träning, sömn, tillskott), din chatthistorik, Katas minne av dig, dina foton och din beslutslogg skrivs till din enhet: i webbläsarens lagring i webbappen (localStorage för inställningar och strukturerade loggar, IndexedDB för större innehåll som foton) och i appens lokala lagring på iOS och Android. Det är den enda plats där något av det finns i läsbar form. Vi driver ingen innehållsdatabas, och på vår sida finns inget vi skulle kunna öppna, läsa eller lämna ut. Om du raderar appen eller rensar dess webbplatsdata är de borta; den inbyggda exporten finns för att du ska kunna säkerhetskopiera först.

I webbappen och Android-appen lämnar en sak faktiskt din enhet, och det här är precis vad den är. För att en rensad webbläsare, en ny dator eller en ny telefon inte ska betyda en förlorad historik håller de två apparna en enda återställningskopia av ditt konto, som vi lagrar som en rad per konto, eftersom varken en webbläsare eller en Android-telefon ger Kata något privat moln per person att luta sig mot. iOS-appen skickar ingen sådan kopia till oss: den skriver en säkerhetskopiefil till sin egen dokumentmapp på din iPhone (avsnitt 11). Innan kopian lämnar din enhet krypteras den där med AES-256-GCM, under en slumpmässig 256-bitarsnyckel som skapas på din enhet, förvaras i enhetens säkra lagring och visas en gång för dig som din återställningskod. Den nyckeln skickas aldrig till oss i någon form: inte i raden, inte i en kolumn, inte i en förfrågningsheader, inte i en logg.

I Android-appen förvaras den nyckeln på två ställen, och inget av dem är vårt: på telefonen, förseglad under en nyckel som Android Keystore håller, och i Google Block Store, ett förråd för små hemligheter som Google Play-tjänster sköter tillsammans med ditt Google-konto, enligt Googles villkor. Det är den andra nyckelkopian som låter en ny Android-telefon, konfigurerad från ditt Google-konto, få tillbaka nyckeln av sig själv och öppna din återställningskopia; där din telefon stöder det end-to-end-krypterar Google den nyckelkopian med ditt skärmlås. Raderar du ditt konto i appen tas nyckeln bort från båda ställena. Där Block Store inte är tillgängligt är din återställningskod sättet att öppna återställningskopian på en annan enhet.

Raden håller det förseglade kuvertet och inget annat: en formatmarkör, ett versionsnummer, algoritmens namn, den slumpmässiga initieringsvektorn, chiffertexten, tiden för förseglingen och schemaversionen för datan inuti. Bredvid den lagras ingen nyckel, inget nyckel-id, ingen hash av nyckeln, inget salt och inget kontrollvärde, så på vår sida finns inget som en gissning ens skulle kunna prövas mot. Vi håller chiffertext som vi inte har några tekniska möjligheter att läsa, och bara du håller det som öppnar den. Dina foton är aldrig en del av den här kopian, och inte heller de värden du importerar från Apple HealthKit eller Google Health Connect. Radnivåsäkerhet är det andra låset: raden är knuten till ditt inloggade konto och inget annat konto kommer åt den. Den uppdateras efter en ändring, som mest en gång per kvart (varannan minut under ett nytt kontos första timme), och var sjätte timme när inget har ändrats; varje uppdatering ersätter den förra, och den raderas med ditt konto. Kan din enhet inte kryptera laddas ingenting upp alls.

Hälsodata som du importerar från Apple HealthKit eller Google Health Connect behandlas som varje annan hälsopost: de bor på din enhet och lagras aldrig på våra servrar. När du ställer en fråga till Kata skickas de importerade värden som frågan behöver med den till vår AI-leverantör för att besvara den (avsnitt 8). Vi lagrar dem aldrig, säljer dem aldrig och använder dem aldrig för reklam.

8 AI-coachen

När du pratar med Kata överförs ditt meddelande och den minsta kontext som behövs för att besvara det, inklusive eventuella värden från Apple HealthKit, Google Health Connect eller WHOOP som frågan behöver, över en krypterad anslutning till vår AI-leverantör (för närvarande Anthropic PBC, USA) för att generera svaret. Anthropic använder inte dessa förfrågningar för att träna sina modeller och raderar dem inom 30 dagar. Vi lagrar inte innehållet i dessa förfrågningar på våra servrar; vi registrerar endast aggregerade tokenantal per konto för kostnadskontroll. Frågor du ställer på Apple Watch hanteras på samma sätt. Röstinmatning omvandlas till text innan den når oss: av Apples taligenkänning i iOS-appen, av din telefons taligenkänning i Android-appen, som på de flesta Android-telefoner tillhandahålls av Google och kan behandla ljudet på Googles servrar, och av din webbläsares taligenkänning i webbappen, var och en enligt sin leverantörs egna villkor. Foton analyseras på samma sätt som meddelanden, bara när du skickar dem.

9 Abstraherade produktsignaler

För att förbättra Kata, förstå vår publik och upprätthålla fair use lagrar vi en liten uppsättning abstraherade signaler per konto. De är kopplade till din kontoidentifierare och är därför pseudonymiserade personuppgifter, men de innehåller inga namn och inget innehåll: ett dagligt hjärtslag med plattformen, appversionen och en landskod som härleds på vår server; antal appöppningar och tidsstämplar för senaste aktivitet; aggregerade AI-användningssiffror (tokenantal per konto, aldrig meddelandeinnehåll); en abstrakt personasammanfattning som appen beräknar på din enhet (ett arketypord plus grova drag som aktivitetsnivå, främsta sporttyper, matkonsekvens, sömnmönster, aktuell fas, valfritt självangivet kön, land och tidszon); inbjudnings- och voucherattribution; samt din prenumerationsplan.

Uttryckligen aldrig lagrat i läsbar form på våra servrar: dina chattar och din konversationshistorik, dina hälsologgar, Katas minne av dig och din beslutslogg. Dina foton lagras aldrig på våra servrar. Resten når oss bara inuti den krypterade kontokopian i avsnitt 7, som chiffertext vi inte kan öppna. Personasammanfattningen beräknas på din enhet, och ingen av signalerna som räknas upp här kan användas för att rekonstruera något av det. Rättslig grund: vårt berättigade intresse av att driva och förbättra tjänsten (art. 6.1 f GDPR; schweiziska FADP).

Två ytterligare saker på våra servrar härleds ur hälsa utan att vara produktsignaler, eftersom de bara finns så länge du ber om dem: Kata Duos dagliga ja-eller-nej-värde (avsnitt 14) och den förseglade sammanfattningen i en säker delning (avsnitt 15). De nämns här för att det här avsnittet ska förbli en fullständig bild av vad vi håller, och var och en beskrivs i sin helhet i sitt eget avsnitt.

10 Samtyckesregister

När du accepterar användarvillkoren eller ger ett samtycke i appen lagrar vi uppgiften om den accepten: dokumentversionen, tidsstämpeln, ytan (webb, iOS eller Android) och språket du accepterade på. Dessa poster bevisar att avtalet ingåtts och vilka samtycken du gav. Rättslig grund: fullgörande av ett avtal och efterlevnad av rättsliga förpliktelser (art. 6.1 b och c GDPR; schweiziska FADP). De sparas så länge ditt konto finns. När du raderar ditt konto sparas de avskilt från allt annat, kopplade endast till det nyckelbaserade fingeravtrycket av din e-postadress (avsnitt 6) och ditt tidigare konto-ID, i tio år, den allmänna preskriptionstiden i schweizisk rätt, och raderas sedan.

11 Mobilapparna: behörigheter och pushnotiser

• Pushnotiser: om du aktiverar dem behandlas en pushtoken kopplad till ditt konto för att leverera notiserna, via Google Firebase Cloud Messaging på både iOS och Android (på iOS bygger det på Apple Push Notification service). Token är en identifierare som enbart används för att leverera de notiser Kata skriver: aldrig för spårning eller reklam, vi kör ingen Firebase Analytics, och inga person- eller hälsodata skickas till Firebase, bara token och notistexten. Tokens raderas när du stänger av notiserna eller raderar ditt konto. För att notiserna ska komma som du har ställt in dem lagrar vi också dina notisinställningar med ditt konto: de kategorier du valt, tysta timmar, hur ofta, ditt språk och din tidszon. En utskickslogg som registrerar vilken notis som gick ut när sparas i 21 dagar, så att inget kommer två gånger.
• Säkerhetskopiefil (iOS): iOS-appen skriver en säkerhetskopia av dina lokala Kata-data, med foton men utan HealthKit-värden, som en fil i appens egen dokumentmapp på din iPhone. Den skickas inte till oss, och Kata lagrar inget i ditt personliga iCloud. Om din iPhones egen iCloud-säkerhetskopiering av enheten är påslagen tar Apple med den filen i den som all annan appdata, under ditt Apple-konto och enligt Apples villkor. Du kan också själv exportera en kopia.
• Säkerhetskopiefiler och Google-säkerhetskopia (Android): Android-appen skriver säkerhetskopior av dina lokala Kata-data, med foton men utan Health Connect-värden, som filer i sin egen privata lagring på din telefon, en gång i veckan om du inte väljer en annan frekvens. De skickas inte till oss. Om Androids egen säkerhetskopiering till ditt Google-konto är påslagen tar den med de filerna och inget annat från Kata: appens löpande lagring, som innehåller Health Connect-värdena, hålls utanför, och likaså den kopia av nyckeln till återställningskopian som Android Keystore har förseglat (avsnitt 7). Den säkerhetskopian ligger under ditt Google-konto och Googles villkor. När du byter direkt till en ny egen telefon, med kabel eller via wifi, för Android över säkerhetskopiefilerna och appens löpande lagring utan att spara dem någonstans på vägen. Du kan också själv exportera en kopia.
• Kamera, mikrofon och fotobibliotek: används endast när du aktivt tar eller bifogar ett foto, skannar en streckkod eller talar med Kata. Åtkomsten sker lokalt på din enhet; innehåll överförs bara i det ögonblick du skickar det till Kata (avsnitt 8) och lagras inte av oss. När du talar omvandlas ditt tal till text av Apples taligenkänning (iOS), av din telefons taligenkänning (Android), som på de flesta Android-telefoner tillhandahålls av Google och kan behandla ljudet på Googles servrar, eller av din webbläsares taligenkänning (webben). Var och en kan behandla ljudet enligt sin leverantörs egna villkor; Kata tar bara emot den resulterande texten.
• Streckkodsskanner: streckkoder läses på din enhet av Google ML Kit, och ingen kamerabild skickas någonstans för det. För att slå upp produkten skickar din enhet sedan streckkodens nummer till Open Food Facts, som, likt vid varje webbförfrågan, också tar emot din IP-adress. Poängen räknas ut på din enhet.
• Apple HealthKit och Google Health Connect: hälsodata som du väljer att importera stannar på din enhet som allt annat hälsoinnehåll (avsnitt 7). När du ställer en fråga till Kata skickas de värden som frågan behöver med den till vår AI-leverantör för att besvara den (avsnitt 8). Vi lagrar dem aldrig på våra servrar, säljer dem aldrig och använder dem aldrig för reklam.
• Google Health Connect (Android): om du kopplar det läser Kata, och skriver aldrig, de typer du tillåter bland dessa: steg, aktiv energi, distans, träningspass med deras puls, vikt, längd, sömn med dess faser, vilopuls och hjärtfrekvensvariabilitet. Kata läser bara medan appen är öppen, och inte längre bakåt än 30 dagar före ditt första tillstånd, eftersom Kata inte ber Health Connect om äldre historik. Värdena sparas i appens lokala lagring på din telefon. De kommer aldrig in i Google-säkerhetskopian eller i den krypterade kopian, och de matar aldrig personasammanfattningen i avsnitt 9. De lämnar din telefon bara med en fråga till Kata som behöver dem, skickade med den till vår AI-leverantör precis som värden från Apple Health (avsnitt 8), eller i en export eller en direkt överföring till en ny telefon som du själv startar. Kopplar du från i appen lämnar Kata tillbaka sina behörigheter till Health Connect och tar, om du väljer det, bort de importerade värdena ur Kata; du kan också dra tillbaka åtkomsten i Health Connect när som helst.
• Apple Watch-appen: klockappen loggar in genom att ta över sessionen från din parkopplade iPhone, eller med inloggning via e-post där det inte går. Den läser HealthKit-data på klockan, som puls och HRV, för att svara dig, och skriver aldrig till dem. En fråga du ställer på klockan skickas, med de värden den behöver, till vår AI-leverantör precis som ett meddelande i appen (avsnitt 8).
• Integritetsetiketterna i Apple App Store och Google Play beskriver samma praxis som denna policy. Skulle en etikett och denna policy någon gång tyckas skilja sig åt är denna policy den auktoritativa beskrivningen av vad vi gör.

12 WHOOP-integration

Att koppla WHOOP är valfritt. OAuth-tokens lagras på din enhet, oläsbara för skript där plattformen tillåter det, och bundna till ditt Kata-konto, så att de bara fungerar för det konto som kopplade dem; de lagras inte i någon serverdatabas. De används enbart för att hämta dina återhämtnings-, sömn-, belastnings-, HRV-, vilopuls-, hudtemperatur- och träningspassdata från WHOOP API (WHOOP, Inc., USA) via vår server, som skickar datan vidare till din enhet utan att lagra den. När du ställer en fråga till Kata skickas de WHOOP-värden den behöver med den till vår AI-leverantör som kontext (avsnitt 8). Du kan återkalla kopplingen när som helst i appen eller i dina WHOOP-kontoinställningar.

13 Bjud in en vän

Om du bjuder in en vän behandlar vi den inbjudna e-postadressen och belöningens status (givna och intjänade månader) för att driva Bjud in en vän. Inbjudna adresser används endast för inbjudan och belöningsmatchningen, aldrig för marknadsföringslistor.

14 Kata Duo och Kata Groups

Kata Duo är frivilligt och finns först när du startar det: du delar en inbjudningslänk, och den som tackar ja blir en av som mest fem duopartner. För att en koppling ska fungera lagrar vi de två konto-ID:na, den slumpmässiga inbjudningskoden, om kopplingen fortfarande väntar eller är aktiv, en flagga per sida för att dölja en partner på din egen profil, samt tidpunkterna för när den skapades och när någon gick med. Namnet du ger en partner ingår inte: det stannar på enheten du skrev det på, din partner ser det aldrig, och inte vi heller.

Det Duo faktiskt delar är en rad per person och dag, med ditt konto-ID, datumet och ett enda ja-eller-nej-värde: om du höll din form den dagen. Din enhet räknar fram värdet ur din egen lokala dag, och det säger ingenting om vad du gjorde. Ingen logg, ingen siffra, ingen poäng, ingen svit, inget innehåll av något slag och inget om vad som hölls. En dag utan något loggat ger ingen rad alls, och därför är det tredje läget din partner ser ett ärligt grått i stället för ett påstående. Bara ett konto som du har en aktiv koppling med kan läsa dina rader, och den gränsen upprätthålls av databasen själv; när endera sidan avslutar duon försvinner kopplingen och synligheten direkt, åt båda hållen.

Rättslig grund: ditt samtycke, som ges när du skapar eller tackar ja till en duoinbjudan och återkallas genom att avsluta duon (art. 6.1 a och, eftersom värdet härleds ur din hälsoanvändning, art. 9.2 a GDPR; schweiziska FADP). Lagring: som en del av sin dagliga skrivning raderar appen dina egna rader så snart de är äldre än 21 dagar, så att det aldrig finns mer än ungefär tre veckors ja-eller-nej-värden. Att avsluta en duo tar bort kopplingen omedelbart, och allt försvinner när du raderar ditt konto.

Kata Groups är samma mekanism för fler än två personer, och den håller inte mer än Kata Duo gör. När du startar en grupp lagrar vi ett grupp-ID, ett gruppnamn och en etikett för den enda sak gruppen följer, de slumpmässiga inbjudningskoderna och, för varje medlem, ett konto-ID, ett visningsnamn för gruppen och om medlemmen döljer sitt värde för gruppen. Vad en grupp delar är samma enda ja-eller-nej-värde per medlem och dag, om den medlemmen höll dagen, och inget om vad någon gjorde: ingen logg, ingen siffra, ingen poäng, inget innehåll av något slag. Bara medlemmar i en grupp kan läsa den gruppens rader, och den gränsen upprätthålls i databasen själv. Om du döljer ditt värde för en grupp vet bara du: de andra medlemmarna visas aldrig det valet, och för dem ser ett dolt värde ut precis som en dag utan något loggat. Dina värden och ditt medlemskap försvinner i samma stund som du lämnar gruppen eller raderar ditt konto. Den rättsliga grunden, och härledningen av värdet från din hälsoanvändning, är desamma som för Kata Duo ovan.

15 Säker delning med en läkare eller någon annan du väljer

Du kan skicka en sammanfattning med exakt det du väljer till en person du anger, oftast en läkare. Det sker bara när du ber om det, och det går till så här. Sammanfattningen sätts ihop på din enhet och krypteras där med AES-256-GCM. Nyckeln läggs i själva delningslänken, i den del av adressen som webbläsare aldrig skickar till en server. Länken sätts ihop på din enhet och du skickar den själv, från din enhet, i det meddelande och den kanal du väljer: varken länken eller nyckeln passerar någonsin våra servrar. Vi lagrar en rad per delning: den krypterade texten, ditt konto-ID som ägare, en saltad SHA-256-hash av mottagarens e-postadress, giltighetstiden samt tidpunkterna för när delningen skapades och först öppnades.

Själva adressen lagras inte, bara den hashen, saltad med delningens eget ID så att den inte kan lösas upp mot en lista över vanliga adresser. Den finns för att åtkomstkoden ska hamna i den inbjudna brevlådan och ingen annan. Vi skickar ingen inbjudan själva: det enda mejl vi skickar för en delning är den åtkomstkoden, när mottagaren ber om den. För att öppna en delning bekräftar mottagaren den inbjudna adressen med en 6-siffrig kod, så vi håller också den bokföring som kontrollen behöver: en hash av den aktiva koden, dess giltighet på tio minuter, antalet felaktiga försök mot den, som är begränsat till fem, antalet skickade koder och tidpunkten för den senaste. Koden gäller en gång, och själva koden lagras aldrig. Allt annat är krypterad text: vi har inga tekniska möjligheter att läsa sammanfattningen, och utan länken har ingen annan det heller.

Rättslig grund: ditt samtycke, som ges varje gång du skapar en delning och återkallas genom att dra tillbaka den (art. 6.1 a och art. 9.2 a GDPR; schweiziska FADP). Lagring: en delning går ut 14 dagar efter att du skapat den, och en utgången rad raderas helt vid nästa kontakt. Du kan dra tillbaka en delning när som helst i appen, vilket raderar raden och den krypterade texten med den, och delningar raderas tillsammans med ditt konto när du raderar det. När en delning har upphört behåller vi bara dess slumpmässiga ID och tidpunkten då den upphörde, kopplat till ingen, så att länken aldrig kan öppna något igen. Skapandet är begränsat till tio delningar per konto och dag.

16 Betalnings- och prenumerationsdata

När du tecknar en betald plan behandlar vi de uppgifter som behövs för din prenumeration: din plan och dess status, faktureringsperioden, valutan och landet som används för skatt, en kund- och prenumerationsidentifierare samt en registrering av betalningar och återbetalningar. Vi tar inte emot eller lagrar ditt fullständiga kortnummer; kortuppgifterna hanteras av betalningsleverantören.

• Köp på webben: betalningar hanteras av Stripe (Stripe Payments Europe, Ltd., Irland, med Stripe, Inc., USA), som hanterar dina kortuppgifter och beräknar tillämplig skatt. Vi får bekräftelse på prenumerationen och de begränsade faktureringsuppgifterna ovan, aldrig det fullständiga kortnumret.
• Köp i App Store, i iOS-appen från iPhone-version 1.0.1: Apple är säljaren och hanterar betalningen; vi får den verifierade prenumerationsstatusen (produkt, period, förnyelse och uppsägning) som behövs för att låsa upp din plan, inte dina betalningsuppgifter.
• Köp på Google Play, i Android-appen från en senare version: Google är säljaren och hanterar betalningen; vi får den verifierade prenumerationsstatusen som behövs för att låsa upp din plan, inte dina betalningsuppgifter.

Rättslig grund: fullgörande av ditt prenumerationsavtal och efterlevnad av våra rättsliga skyldigheter, inklusive lagring för skatt och bokföring (art. 6 (1) (b) och (c) GDPR; schweiziska FADP). Faktureringsuppgifter sparas under de lagstadgade lagringstiderna.

Företagshälsa: om en organisation, till exempel din arbetsgivare, täcker din plan sparar vi ditt medlemskap i den organisationen (e-postadressen den bjöd in, om platsen är inbjuden, ansluten eller borttagen, datumet för vart och ett av dessa steg och den plan dess avtal ger) så att täckningen kan tillämpas och tas bort. För en inbjudan via e-post sparar vi också när den senast skickades och hur många gånger. Vi för en logg över varje ändring av medlemskapet (inbjudan, anslutning, utträde, borttagning) och av organisationens avtal, så att platser och fakturor kan kontrolleras; den innehåller kontoidentifierare, aldrig din e-postadress och inget om din hälsa. Om en enskild person ser organisationens ansvariga enbart medlemskapet: för varje person den bjöd in, den inbjudna e-postadressen (den som anslöt via länk eller kod visas utan e-postadress), om platsen är inbjuden, ansluten eller borttagen, datumet för dessa steg och, för en öppen inbjudan, om den har gått ut eller dragits tillbaka och när och hur många gånger den skickades. För gruppen ser den ansvariga de använda platserna mot de platser avtalet täcker, samt aktivering och engagemang som siffror. Varje siffra om aktivitet beräknas bara från medlemmar som bekräftat sin e-postadress och verkligen använt Kata under den visade perioden, aldrig från de ansvariga själva, och den visas först när minst fem sådana medlemmar står bakom den, så att ingen kan pekas ut. Organisationen ser aldrig dina hälsodata, dina loggar, dina chattar eller Katas minne av dig: inget av det finns i läsbar form på våra servrar, varken för organisationen eller för oss. Rättslig grund: fullgörande av det avtal som täcker din plats (art. 6 (1) (b) GDPR; schweiziska FADP). Lämnar du organisationen, eller tas bort ur den, upphör täckningen och dina egna data lämnas orörda.

Presenter. När du ger bort Kata Plus behandlar vi det du anger: längden, kortets design och dess språk, ditt namn och mottagarens namn så som du vill ha dem på kortet, ditt meddelande, hur presenten kommer fram, mottagarens mejladress om vi ska mejla den, och dagen den ska skickas. Betaltjänsten ger oss din mejladress och ditt namn för kvittot och, för ett kort med posten, postadressen. Om du är inloggad kopplas presenten till ditt konto så att du ser den där. Till skillnad från dina hälsodata sparas en present på våra servrar (Supabase, region Zürich), eftersom den du ger den till öppnar den därifrån. Vi använder den bara för att leverera presenten: visa kortet och ditt meddelande för den som öppnar den, mejla den, trycka och posta kortet, skicka dig kvittot och beskeden om att den lösts in och att kortet postats, och hantera återbetalningar och frågor. Du får bara veta att din present lösts in, och när, aldrig något om kontot som löste in den. Rättslig grund: avtalet med dig (art. 6 (1) (b) GDPR; schweiziska FADP).

Få en present. Om någon ger dig en present via mejl använder vi din mejladress och namnet personen skrev bara för att skicka dig det enda presentmejlet, och personens meddelande bara för att visa det för dig; din adress läggs inte till någon lista. När du löser in presenten registrerar vi vilket konto som löste in den och när, så att månaderna kan läggas till. Vi läser inte meddelandet i något annat syfte och använder det aldrig för coachning, personanpassning eller marknadsföring. Rättslig grund: vårt berättigade intresse av att leverera en present som köpts åt dig (art. 6 (1) (f) GDPR; schweiziska FADP), och avtalet med dig när du löser in den (art. 6 (1) (b) GDPR).

17 Mottagare och överföringar till utlandet

• Supabase (autentisering, och databasen som rymmer de driftsuppgifter som beskrivs i denna policy, den krypterade kontokopian från webbappen och Android-appen, kopplingarna och dagsvärdena i Kata Duo och Kata Groups samt de förseglade säkra delningarna): projekt hostat i Schweiz, regionen Zürich.
• Anthropic (AI-behandling för coachen): USA; förfrågningarna används inte för träning och raderas inom 30 dagar.
• ElevenLabs (Kata-röster, endast i de betalda planerna: uppläsningen av din veckoöversikt och dina brev, Méganes röstmeddelanden som kommer då och då, och de talade svaren när du pratar med Kata): USA, endast flyktig behandling, texten görs om till ljud och sparas inte.
• Resend (transaktionsmejl, inklusive åtkomstkoden för en säker delning): USA.
• Vercel (hosting): EU och USA.
• Stripe (betalningshantering för köp på webben, presenter inräknade): Stripe Payments Europe, Ltd., Irland, med behandling av Stripe, Inc., USA.
• Posten som delar ut ett tryckt presentkort (Schweiziska posten och postoperatören i mottagarlandet), med endast kortet, meddelandet och postadressen.
• Apple och Google (betalnings- och prenumerationshantering för köp som görs i App Store och Google Play, så snart apparna erbjuder sådana köp): USA.
• Google Analytics (aggregerad mätning av webbplatsanvändning, endast med ditt samtycke): Google Ireland Limited, Irland, med behandling av Google LLC, USA.
• Google / Firebase Cloud Messaging (leverans av pushtoken på iOS och Android; ingen analytics): USA.
• Apple (Apple Push Notification service som ligger under iOS-push, ”Logga in med Apple” och dess privata e-postrelä, taligenkänning i iOS-appen, och din egen iCloud-säkerhetskopia av enheten, som kan innehålla appens säkerhetskopiefil): USA.
• Google (”Logga in med Google”, och i Android-appen: telefonens taligenkänning där Google tillhandahåller den, Google Block Store, som förvarar nyckeln till återställningskopian med ditt Google-konto, och din egen Google-säkerhetskopia av enheten, som kan innehålla appens säkerhetskopiefiler): USA.
• Din webbläsares taligenkänning (röstinmatning i webbappen), som tillhandahålls av webbläsarens tillverkare enligt dess egna villkor.
• Google ML Kit (streckkodsläsning för skannern): körs på din enhet; ingen kamerabild skickas för det.
• Open Food Facts (produktuppslag för skannern, skickat från din enhet med streckkoden och din IP-adress): Frankrike.
• WHOOP (WHOOP API, endast om du kopplar WHOOP): USA.

Där data når leverantörer i USA skyddas överföringen av EU:s standardavtalsklausuler och, där certifiering finns, Swiss-U.S. Data Privacy Framework. Vi säljer eller hyr inte ut personuppgifter, och inga andra mottagare finns.

18 Lagringstid

Kontodata sparas så länge ditt konto finns och raderas när du raderar kontot, utom de nyckelbaserade fingeravtrycken i avsnitt 6, som sparas i 24 månader efter raderingen och sedan raderas. Samtyckesregistren sparas så länge ditt konto finns och, efter att det raderats, i tio år, kopplade endast till det nyckelbaserade fingeravtrycket av din e-postadress och ditt tidigare konto-ID (avsnitt 10). Formulärkorrespondens sparas så länge som behövs för att hantera förfrågan. Aggregerade tokenantal sparas för kostnadsredovisning. Fakturerings- och betalningsuppgifter sparas under de lagstadgade lagringstiderna för skatt och bokföring. Pushtokens raderas när notiserna stängs av eller kontot raderas; notisinställningarna sparas så länge ditt konto finns, och utskicksloggen i 21 dagar. Vår AI-leverantör raderar de förfrågningar den behandlar inom 30 dagar. Det dagliga hjärtslaget och personasignalerna i avsnitt 9 sparas så länge ditt konto finns och raderas med det. Hälsodata på din enhet förvaras enbart av dig. Den krypterade kontokopian (avsnitt 7) är en enda rad som varje backup skriver över och som raderas med ditt konto; vi håller aldrig någon läsbar kopia av dina hälsodata. Kata Duo-värden raderas så snart de är äldre än 21 dagar, och en koppling försvinner med alla sina värden i samma stund som endera sidan avslutar duon (avsnitt 14). En säker delning går ut 14 dagar efter att den skapats, och dess rad, krypterad text inkluderad, raderas då eller i samma stund som du drar tillbaka den; bara dess slumpmässiga ID finns kvar, kopplat till ingen, så att länken aldrig öppnas igen (avsnitt 15). En presents post (dess kod, längden, vad som betalades, köparens mejladress och datumen) sparas under den lagstadgade lagringstiden för bokföring. Namnen, meddelandet och mottagarens mejladress raderas 90 dagar efter att presenten lösts in eller återbetalats, eller när den upphör att gälla utan att ha lösts in; en postadress 90 dagar efter att kortet postats. När kontot som löste in en present raderas tas presentens koppling till det bort (avsnitt 16).

19 Säkerhet och dataincidenter

All överföring är krypterad (TLS). Servern håller den minimala data som beskrivs ovan, skyddad av åtkomstkontroller och våra biträdens säkerhetsprogram. Den starkaste åtgärden är arkitektonisk: ditt hälsoinnehåll finns antingen inte på våra servrar alls, eller ligger där bara som chiffertext vi inte har någon nyckel till, så ett intrång på vår sida kan inte blotta det.

Skulle en säkerhetsincident trots det påverka personuppgifter som vi håller bedömer vi den utan onödigt dröjsmål och underrättar den behöriga tillsynsmyndigheten och, där det krävs, de berörda personerna, i enlighet med art. 24 FADP och, i tillämpliga fall, art. 33 och 34 GDPR.

20 Dina rättigheter

Du har rätt till tillgång, rättelse, radering och dataportabilitet för dina personuppgifter, och rätt att invända mot behandling. Eftersom nästan alla data bor på din enhet ligger de flesta av dessa rättigheter i dina egna händer: exportera, rätta eller töm dina data direkt i appen. För allt som rör ditt konto eller ett formulär du skickat in, skriv till contact@yourkata.com. Du kan också lämna in ett klagomål till den schweiziska federala dataskydds- och informationskommissionären (FDPIC) eller, där GDPR gäller, till din lokala tillsynsmyndighet.

21 Ändringar

Vi uppdaterar denna policy när tjänsten förändras. Den aktuella versionen, med sitt datum, publiceras alltid på den här sidan. Väsentliga ändringar meddelas i appen.

22 Tillämplig rätt

Denna policy och varje integritetstvist regleras av schweizisk rätt. Den tekniska beskrivningen av samma fakta finns i dokumentationen Dina data.