Integritetspolicy.

1 Personuppgiftsansvarig

BSNS GmbH är personuppgiftsansvarig för den behandling som beskrivs i denna policy. Den omfattar webbplatserna yourkata.com och docs.yourkata.com, Kata-webbappen på app.yourkata.com samt Katas mobilappar för iOS och Android.

BSNS GmbH har inte utsett, och är inte skyldigt att utse, ett lagstadgat dataskyddsombud. I varje integritetsfråga är contact@yourkata.com den direkta vägen till de ansvariga.

2 Kortversionen

Dina hälsodata tillhör dig. Alla loggar, chattar, foton och Katas minne av dig skrivs till din enhet, inte till någon innehållsdatabas hos oss: i webbläsaren såväl som i mobilapparna. Vi riktar aldrig reklam mot dig, säljer aldrig data och profilerar aldrig dina hälsodata. Det enda vi mäter är enkel, aggregerad besöksanalys på den här marknadswebbplatsen (Google Analytics), som du kan avböja i bannern och som aldrig rör dina hälso- eller kontodata (avsnitt 4). Utöver e-postadressen och konto-ID:t som loggar in dig lämnar två saker din enhet: ditt meddelande till Kata, skickat till AI:n för att skapa ditt svar och behållet av ingen, inte ens av oss; och, på Android och webben, en återställningskopia av ditt konto, krypterad på din enhet innan den laddas upp, med en nyckel vi aldrig får. Den kopian håller vi som chiffertext, vi har inga tekniska möjligheter att öppna den, och dina foton finns aldrig i den (avsnitt 7). Två funktioner som du själv slår på lägger medvetet till mer: Kata Duo delar ett ja-eller-nej-värde om dagen med dem du bjuder in, och ingenting om vad du gjorde (avsnitt 14), och en säker delning skickar en sammanfattning som du själv sätter ihop till en person du anger, förseglad på din enhet och därmed oläsbar även för oss (avsnitt 15).

3 Rättslig ram

Vi behandlar personuppgifter i enlighet med den schweiziska dataskyddslagen (FADP, reviderad version i kraft sedan den 1 september 2023) och, där den gäller användare i Europeiska ekonomiska samarbetsområdet, EU:s allmänna dataskyddsförordning (GDPR). Där denna policy anger en rättslig grund avses art. 6.1 GDPR; enligt FADP omfattas den behandling som beskrivs här av principerna i art. 6 FADP och bygger inte på samtycke om inget annat anges.

4 Webbplatsbesök

• Analys: den här webbplatsen använder Google Analytics (tillhandahålls av Google Ireland Limited) för att mäta besök och trafik aggregerat: visade sidor, ungefärlig region från en förkortad IP-adress, enhets- och webbläsartyp, och hur du kom hit. Den sätter egna cookies. Detta är anonyma, aggregerade användningsdata enbart om webbplatsen; de kopplas aldrig till ditt Kata-konto och innehåller aldrig hälso- eller personliga kontodata. Det laddas bara om du accepterar i samtyckesbannern, och du kan avböja. Rättslig grund: ditt samtycke (art. 6.1 a GDPR; schweiziska FADP).
• Samtyckesbanner: analysen laddas först efter att du accepterat. Ditt val, accepterat eller avböjt, minns som en enda flagga i din webbläsares localStorage, och tills du accepterar sätts inga analyscookies och inga analysdata skickas. Rensar du den lagringen kan du välja igen.
• Hosting: Vercel Inc., USA, levererar webbplatsen och behandlar tekniska serverloggar (IP-adress, tidpunkt för anropet, user agent) för att driva och skydda tjänsten (berättigat intresse). Behandlingen kan ske i EU och USA; överföringar täcks av EU:s standardavtalsklausuler och de schweiziska reglerna för gränsöverskridande dataflöden.
• Typsnitten hostar vi själva, och de levereras från samma hosting som sidorna. Ingen typsnittstjänst från tredje part kontaktas, och ingen förfrågan från dig når någon sådan.

5 Webbplatsformulär (kontakt och partnerskap)

Om du använder kontakt- eller partnerformuläret behandlar vi uppgifterna du skickar in (namn, e-postadress, ämne, företag där det anges, och ditt meddelande) för att besvara din förfrågan (fullgörande av ett avtal eller åtgärder innan ett avtal ingås; berättigat intresse för allmänna förfrågningar). Meddelandena levereras till våra brevlådor av Resend, Inc., USA, som agerar som vårt personuppgiftsbiträde, och sparas så länge som behövs för att hantera konversationen och eventuell uppföljning. Formulärdata används aldrig för reklam och delas aldrig utanför detta syfte.

6 Appen: kontodata

För att skapa och skydda ditt konto behandlar vi din e-postadress, en användaridentifierare (ditt konto-ID), autentiseringsmetod och autentiseringstidsstämplar, på varje yta (webben och mobilapparna). Autentiseringen tillhandahålls av Supabase, vårt personuppgiftsbiträde, med projektet hostat i EU (regionen Zürich). Du kan logga in med e-post och lösenord, Google, Apple eller en magisk länk; när du använder en tredjepartsinloggning bekräftar den leverantören din identitet för oss och vi lagrar bara din e-postadress och detta konto-ID. Om du loggar in med Apple och väljer ”Dölj min e-post” ger Apple oss en privat reläadress i stället för din riktiga e-post; våra transaktionsmejl skickas till det reläet och vidarebefordras av Apple till dig. Supabase håller inga läsbara hälsodata. Vad som i övrigt ligger i den databasen beskrivs i avsnitt 7, 14 och 15: krypterad text som vi inte kan öppna och, om du använder Kata Duo, ett ja-eller-nej-värde om dagen.

7 Dina hälsodata och var de bor

Kata är local-first på varje yta. Alla hälsologgar (vikt, mat, vatten, träning, sömn, tillskott), din chatthistorik, Katas minne av dig, dina foton och din beslutslogg skrivs till din enhet: i webbläsarens lagring i webbappen (localStorage för inställningar och strukturerade loggar, IndexedDB för större innehåll som foton) och i appens lokala lagring på iOS och Android. Det är den enda plats där något av det finns i läsbar form. Vi driver ingen innehållsdatabas, och på vår sida finns inget vi skulle kunna öppna, läsa eller lämna ut. Om du raderar appen eller rensar dess webbplatsdata är de borta; den inbyggda exporten finns för att du ska kunna säkerhetskopiera först.

En sak lämnar faktiskt din enhet, och det här är precis vad den är. För att en förlorad eller utbytt telefon inte ska betyda en förlorad historik håller appen en enda återställningskopia av ditt konto. På iOS går den till ditt eget privata iCloud och aldrig till oss (avsnitt 11). På Android och webben, där det inte finns något privat moln per person att luta sig mot, lagrar vi den som en rad per konto. Innan den kopian lämnar din enhet krypteras den där med AES-256-GCM, under en slumpmässig 256-bitarsnyckel som skapas på din enhet, förvaras i enhetens säkra lagring och visas en gång för dig som din återställningskod. Den nyckeln skickas aldrig till oss i någon form: inte i raden, inte i en kolumn, inte i en förfrågningsheader, inte i en logg.

Raden håller det förseglade kuvertet och inget annat: en formatmarkör, ett versionsnummer, algoritmens namn, den slumpmässiga initieringsvektorn, chiffertexten, tiden för förseglingen och schemaversionen för datan inuti. Bredvid den lagras ingen nyckel, inget nyckel-id, ingen hash av nyckeln, inget salt och inget kontrollvärde, så på vår sida finns inget som en gissning ens skulle kunna prövas mot. Vi håller chiffertext som vi inte har några tekniska möjligheter att läsa, och bara du håller det som öppnar den. Dina foton är aldrig en del av den här kopian. Radnivåsäkerhet är det andra låset: raden är knuten till ditt inloggade konto och inget annat konto kommer åt den. Den uppdateras som mest en gång var sjätte timme, skrivs över varje gång och raderas med ditt konto. Kan din enhet inte kryptera laddas ingenting upp alls.

Hälsodata som du importerar från Apple HealthKit eller Google Health Connect behandlas precis som varje annan hälsopost: de bor på din enhet och når oss aldrig i läsbar form.

8 AI-coachen

När du pratar med Kata överförs ditt meddelande och den minsta kontext som behövs för att besvara det över en krypterad anslutning till vår AI-leverantör (för närvarande Anthropic PBC, USA) och behandlas där flyktigt för att generera svaret. Vi lagrar inte innehållet i dessa förfrågningar på våra servrar; vi registrerar endast aggregerade tokenantal per konto för kostnadskontroll. Röstinmatning transkriberas och foton analyseras på samma sätt, bara när du skickar dem.

9 Abstraherade produktsignaler

För att förbättra Kata, förstå vår publik och upprätthålla fair use lagrar vi en liten uppsättning abstraherade, icke-personliga signaler per konto: antal appöppningar och tidsstämplar för senaste aktivitet; aggregerade AI-användningssiffror (tokenantal per konto, aldrig meddelandeinnehåll); en abstrakt personasammanfattning som appen beräknar på din enhet (ett arketypord plus grova drag som aktivitetsnivå, främsta sporttyper, matkonsekvens, sömnmönster, aktuell fas, valfritt självangivet kön, land och tidszon); inbjudnings- och voucherattribution; samt din prenumerationsplan.

Uttryckligen aldrig lagrat i läsbar form på våra servrar: dina chattar och din konversationshistorik, dina hälsologgar, Katas minne av dig och din beslutslogg. Dina foton laddas inte upp till oss alls. Resten når oss bara inuti den krypterade kontokopian i avsnitt 7, som chiffertext vi inte kan öppna. De abstraherade signalerna som räknas upp här beräknas på din enhet och kan inte användas för att rekonstruera något av det. Rättslig grund: vårt berättigade intresse av att driva och förbättra tjänsten (art. 6.1 f GDPR; schweiziska FADP).

Två ytterligare saker på våra servrar härleds ur hälsa utan att vara produktsignaler, eftersom de bara finns så länge du ber om dem: Kata Duos dagliga ja-eller-nej-värde (avsnitt 14) och den förseglade sammanfattningen i en säker delning (avsnitt 15). De nämns här för att det här avsnittet ska förbli en fullständig bild av vad vi håller, och var och en beskrivs i sin helhet i sitt eget avsnitt.

10 Samtyckesregister

När du accepterar användarvillkoren eller ger ett samtycke i appen lagrar vi uppgiften om den accepten: dokumentversionen, tidsstämpeln, ytan (webb, iOS eller Android) och språket du accepterade på. Dessa poster bevisar att avtalet ingåtts och vilka samtycken du gav. Rättslig grund: fullgörande av ett avtal och efterlevnad av rättsliga förpliktelser (art. 6.1 b och c GDPR; schweiziska FADP). De sparas så länge ditt konto finns och därefter under de tillämpliga lagstadgade preskriptionstiderna.

11 Mobilapparna: behörigheter och pushnotiser

• Pushnotiser: om du aktiverar dem behandlas en pushtoken kopplad till ditt konto för att leverera notiserna, via Google Firebase Cloud Messaging på både iOS och Android (på iOS vilar det under på Apple Push Notification service). Token är en identifierare som enbart används för att leverera de notiser Kata skriver: aldrig för spårning eller reklam, vi kör ingen Firebase Analytics, och inga person- eller hälsodata skickas till Firebase, bara token och notistexten. Tokens raderas när du stänger av notiserna eller raderar ditt konto.
• iCloud-backup (iOS): du kan säkerhetskopiera dina lokala Kata-data till ditt eget privata iCloud (Apples privata CloudKit-databas) och återställa dem på dina enheter. Kopian krypteras först på din enhet och hamnar sedan i ditt personliga iCloud-konto, under ditt Apple-ID, aldrig på våra servrar, och delas med ingen; den förblir helt i din kontroll. Apple tillhandahåller ditt iCloud-lagringsutrymme.
• Kamera, mikrofon och fotobibliotek: används endast när du aktivt tar eller bifogar ett foto eller talar med Kata. Åtkomsten sker lokalt på din enhet; innehåll överförs bara i det ögonblick du skickar det till Kata (avsnitt 8) och lagras inte av oss.
• Apple HealthKit och Google Health Connect: hälsodata som du väljer att importera stannar på din enhet som allt annat hälsoinnehåll (avsnitt 7). Vi tar inte emot dem, lagrar dem inte och delar dem inte, och vi använder dem aldrig för reklam.
• Integritetsetiketterna i Apple App Store och Google Play beskriver samma praxis som denna policy. Skulle en etikett och denna policy någon gång tyckas skilja sig åt är denna policy den auktoritativa beskrivningen av vad vi gör.

12 WHOOP-integration

Att koppla WHOOP är valfritt. OAuth-tokens lagras på din enhet, oläsbara för skript där plattformen tillåter det, och används enbart för att hämta dina återhämtnings-, HRV-, sömn- och belastningsdata för visning på din enhet; de lagras inte i någon serverdatabas. Du kan återkalla kopplingen när som helst i appen eller i dina WHOOP-kontoinställningar.

13 Bjud in en vän

Om du bjuder in en vän behandlar vi den inbjudna e-postadressen och belöningens status (givna och intjänade månader) för att driva Bjud in en vän. Inbjudna adresser används endast för inbjudan och belöningsmatchningen, aldrig för marknadsföringslistor.

14 Kata Duo och Kata Groups

Kata Duo är frivilligt och finns först när du startar det: du delar en inbjudningslänk, och den som tackar ja blir en av som mest fem duopartner. För att en koppling ska fungera lagrar vi de två konto-ID:na, den slumpmässiga inbjudningskoden, om kopplingen fortfarande väntar eller är aktiv, en flagga per sida för att dölja en partner på din egen profil, samt tidpunkterna för när den skapades och när någon gick med. Namnet du ger en partner ingår inte: det stannar på enheten du skrev det på, din partner ser det aldrig, och inte vi heller.

Det Duo faktiskt delar är en rad per person och dag, med ditt konto-ID, datumet och ett enda ja-eller-nej-värde: om du höll din form den dagen. Din enhet räknar fram värdet ur din egen lokala dag, och det säger ingenting om vad du gjorde. Ingen logg, ingen siffra, ingen poäng, ingen svit, inget innehåll av något slag och inget om vad som hölls. En dag utan något loggat ger ingen rad alls, och därför är det tredje läget din partner ser ett ärligt grått i stället för ett påstående. Bara ett konto som du har en aktiv koppling med kan läsa dina rader, och den gränsen upprätthålls av databasen själv; när endera sidan avslutar duot försvinner kopplingen och synligheten direkt, åt båda hållen.

Rättslig grund: ditt samtycke, som ges när du skapar eller tackar ja till en duoinbjudan och återkallas genom att avsluta duot (art. 6.1 a och, eftersom värdet härleds ur din hälsoanvändning, art. 9.2 a GDPR; schweiziska FADP). Lagring: som en del av sin dagliga skrivning raderar appen dina egna rader så snart de är äldre än 21 dagar, så att det aldrig finns mer än ungefär tre veckors ja-eller-nej-värden. Att avsluta ett duo tar bort kopplingen omedelbart, och allt försvinner när du raderar ditt konto.

Kata Groups är samma mekanism för fler än två personer, och den håller inte mer än Kata Duo gör. När du startar en grupp lagrar vi ett grupp-ID, ett gruppnamn och en etikett för den enda sak gruppen följer, de slumpmässiga inbjudningskoderna och, för varje medlem, ett konto-ID och ett visningsnamn för gruppen. Vad en grupp delar är samma enda ja-eller-nej-värde per medlem och dag, om den medlemmen höll dagen, och inget om vad någon gjorde: ingen logg, ingen siffra, ingen poäng, inget innehåll av något slag. Bara medlemmar i en grupp kan läsa den gruppens rader, och den gränsen upprätthålls i databasen själv; dina värden och ditt medlemskap försvinner i samma stund som du lämnar gruppen eller raderar ditt konto. Den rättsliga grunden, och härledningen av värdet från din hälsoanvändning, är desamma som för Kata Duo ovan.

15 Säker delning med en läkare eller någon annan du väljer

Du kan skicka en sammanfattning med exakt det du väljer till en person du anger, oftast en läkare. Det sker bara när du ber om det, och det går till så här. Sammanfattningen sätts ihop på din enhet och krypteras där med AES-256-GCM. Nyckeln läggs i själva delningslänken, i den del av adressen som webbläsare aldrig skickar till en server, så den når din mottagare och aldrig oss. Vi lagrar en rad per delning: den krypterade texten, ditt konto-ID som ägare, en saltad SHA-256-hash av mottagarens e-postadress, giltighetstiden samt tidpunkterna för när delningen skapades och först öppnades.

Själva adressen lagras inte, bara den hashen, saltad med delningens eget ID så att den inte kan lösas upp mot en lista över vanliga adresser. Den finns för att inbjudan och åtkomstkoden ska hamna i den inbjudna brevlådan och ingen annan. Inbjudningslänken passerar förfrågan en enda gång så att inbjudningsmejlet kan bära den, och den lagras aldrig. För att öppna en delning bekräftar mottagaren den inbjudna adressen med en 6-siffrig kod, så vi håller också den bokföring som kontrollen behöver: en hash av den aktiva koden, dess giltighet på tio minuter, antalet felaktiga försök mot den, som är begränsat till fem, antalet skickade koder och tidpunkten för den senaste. Koden gäller en gång, och själva koden lagras aldrig. Allt annat är krypterad text: vi har inga tekniska möjligheter att läsa sammanfattningen, och utan länken har ingen annan det heller.

Rättslig grund: ditt samtycke, som ges varje gång du skapar en delning och återkallas genom att dra tillbaka den (art. 6.1 a och art. 9.2 a GDPR; schweiziska FADP). Lagring: en delning går ut 14 dagar efter att du skapat den, och en utgången rad raderas helt vid nästa kontakt. Du kan dra tillbaka en delning när som helst i appen, vilket raderar raden och den krypterade texten med den, och delningar följer med när du raderar ditt konto. Skapandet är begränsat till tio delningar per konto och dag.

16 Betalnings- och prenumerationsdata

När du tecknar en betald plan behandlar vi de uppgifter som behövs för din prenumeration: din plan och dess status, faktureringsperioden, valutan och landet som används för skatt, en kund- och prenumerationsidentifierare samt en registrering av betalningar och återbetalningar. Vi tar inte emot eller lagrar ditt fullständiga kortnummer; kortuppgifterna hanteras av betalningsleverantören.

• Köp på webben: betalningar hanteras av Stripe (Stripe Payments Europe, Ltd., Irland, med Stripe, Inc., USA), som hanterar dina kortuppgifter och beräknar tillämplig skatt. Vi får bekräftelse på prenumerationen och de begränsade faktureringsuppgifterna ovan, aldrig det fullständiga kortnumret.
• Köp i App Store: Apple är säljaren och hanterar betalningen; vi får den verifierade prenumerationsstatusen (produkt, period, förnyelse och uppsägning) som behövs för att låsa upp din plan, inte dina betalningsuppgifter.
• Köp på Google Play: Google är säljaren och hanterar betalningen; vi får den verifierade prenumerationsstatusen som behövs för att låsa upp din plan, inte dina betalningsuppgifter.

Rättslig grund: fullgörande av ditt prenumerationsavtal och efterlevnad av våra rättsliga skyldigheter, inklusive lagring för skatt och bokföring (art. 6 (1) (b) och (c) GDPR; schweiziska FADP). Faktureringsuppgifter sparas under de lagstadgade lagringstiderna.

Företagshälsa: om en organisation, till exempel din arbetsgivare, täcker din plan sparar vi ditt medlemskap i den organisationen (e-postadressen den bjöd in, om platsen är inbjuden, ansluten eller borttagen, och den plan dess avtal ger) så att täckningen kan tillämpas och tas bort. Organisationens ansvariga ser enbart engagemang: medlemskapsstatus för de personer den bjöd in, samt platser, aktivering och aktiva medlemmar som siffror för gruppen, beräknade först när minst fem medlemmar har anslutit, så att ingen kan pekas ut. Organisationen ser aldrig dina hälsodata, dina loggar, dina chattar eller Katas minne av dig: inget av det finns i läsbar form på våra servrar, varken för organisationen eller för oss. Rättslig grund: fullgörande av det avtal som täcker din plats (art. 6 (1) (b) GDPR; schweiziska FADP). Lämnar du organisationen, eller tas bort ur den, upphör täckningen och dina egna data lämnas orörda.

17 Mottagare och överföringar till utlandet

• Supabase (autentisering, och databasen som rymmer den krypterade kontoögonblicksbilden, Kata Duos kopplingar och dagsvärden samt de förseglade säkra delningarna): projekt hostat i EU, regionen Zürich.
• Anthropic (AI-behandling): USA, endast flyktig behandling.
• ElevenLabs (Kata-röster, endast i de betalda planerna: uppläsningen av din veckoöversikt och dina brev, Méganes tillfälliga röstanteckningar, och de talade svaren när du pratar med Kata): USA, endast flyktig behandling, texten görs om till ljud och sparas inte.
• Resend (transaktionsmejl, inklusive inbjudan och åtkomstkod för en säker delning): USA.
• Vercel (hosting): EU och USA.
• Stripe (betalningshantering för köp på webben): Stripe Payments Europe, Ltd., Irland, med behandling av Stripe, Inc., USA.
• Apple och Google (betalnings- och prenumerationshantering för köp som görs i App Store och Google Play): USA.
• Google Analytics (aggregerad mätning av webbplatsanvändning, endast med ditt samtycke): Google Ireland Limited, Irland, med behandling av Google LLC, USA.
• Google / Firebase Cloud Messaging (leverans av pushtoken på iOS och Android; ingen analytics): USA.
• Apple (Apple Push Notification service som ligger under iOS-push, ”Logga in med Apple” och dess privata e-postrelä, och ditt eget personliga iCloud-backuputrymme): USA.

Där data når leverantörer i USA skyddas överföringen av EU:s standardavtalsklausuler och, där certifiering finns, Swiss-U.S. Data Privacy Framework. Vi säljer eller hyr inte ut personuppgifter, och inga andra mottagare finns.

18 Lagringstid

Kontodata sparas så länge ditt konto finns och raderas när du raderar kontot. Samtyckesregistren sparas under de lagstadgade preskriptionstiderna (avsnitt 10). Formulärkorrespondens sparas så länge som behövs för att hantera förfrågan. Aggregerade tokenantal sparas för kostnadsredovisning. Fakturerings- och betalningsuppgifter sparas under de lagstadgade lagringstiderna för skatt och bokföring. Pushtokens raderas när notiserna stängs av eller kontot raderas. Hälsodata på din enhet förvaras enbart av dig. Den krypterade kontokopian (avsnitt 7) är en enda rad som varje backup skriver över och som raderas med ditt konto; vi håller aldrig någon läsbar kopia av dina hälsodata. Kata Duo-värden raderas så snart de är äldre än 21 dagar, och en koppling försvinner med alla sina värden i samma stund som endera sidan avslutar duot (avsnitt 14). En säker delning går ut 14 dagar efter att den skapats, och dess rad, krypterad text inkluderad, raderas då eller i samma stund som du drar tillbaka den (avsnitt 15).

19 Säkerhet och dataincidenter

All överföring är krypterad (TLS). Servern håller den minimala data som beskrivs ovan, skyddad av åtkomstkontroller och våra biträdens säkerhetsprogram. Den starkaste åtgärden är arkitektonisk: ditt hälsoinnehåll finns antingen inte på våra servrar alls, eller ligger där bara som chiffertext vi inte har någon nyckel till, så ett intrång på vår sida kan inte blotta det.

Skulle en säkerhetsincident trots det påverka personuppgifter som vi håller bedömer vi den utan onödigt dröjsmål och underrättar den behöriga tillsynsmyndigheten och, där det krävs, de berörda personerna, i enlighet med art. 24 FADP och, i tillämpliga fall, art. 33 och 34 GDPR.

20 Dina rättigheter

Du har rätt till tillgång, rättelse, radering och dataportabilitet för dina personuppgifter, och rätt att invända mot behandling. Eftersom nästan alla data bor på din enhet ligger de flesta av dessa rättigheter i dina egna händer: exportera, rätta eller töm dina data direkt i appen. För allt som rör ditt konto eller ett formulär du skickat in, skriv till contact@yourkata.com. Du kan också lämna in ett klagomål till den schweiziska federala dataskydds- och informationskommissionären (FDPIC) eller, där GDPR gäller, till din lokala tillsynsmyndighet.

21 Ändringar

Vi uppdaterar denna policy när tjänsten förändras. Den aktuella versionen, med sitt datum, publiceras alltid på den här sidan. Väsentliga ändringar meddelas i appen.

22 Tillämplig rätt

Denna policy och varje integritetstvist regleras av schweizisk rätt. Ingenjörsvyn av samma fakta finns i docsen Dina data.