Gültig in der mit der aktuellen App-Version ausgelieferten Fassung.
Dies ist derselbe Text, der in der Shoteo-App ausgeliefert und vor der ersten Nutzung angezeigt wird. Die in der App gebündelte Fassung ist die, gegen die die Einwilligung erfasst wird. Maßgeblich ist die englische Fassung dieser Dokumente.
Shoteo behält alles, was Sie erfassen, auf Ihrem eigenen Telefon. Es gibt kein Konto, keinen von uns betriebenen Server und keine Kopie Ihrer Gesundheitsdaten irgendwo außer auf diesem Gerät. Sie können alles jederzeit herausnehmen, und Sie können alles jederzeit löschen.
Diese Erklärung gilt für die Shoteo-App auf iOS und Android sowie für die Website shoteo.codexo.at, auf der sie veröffentlicht ist. Nichts, was Sie in der App tun, ist mit der Website verbunden, denn die App stellt keine Verbindung zu ihr her. Die Erklärung liest sich auf beiden Plattformen gleich — anders als bei den meisten Apps gibt es keine plattformspezifische Speicherung und keine Analysedienste zu beschreiben, weil es auf keiner der beiden Plattformen Speicherung oder Auswertung außerhalb Ihres Geräts gibt.
Die App hat keine. Sie enthält keinerlei Analyse-, Werbe- oder Tracking-Dienste und hat für Cookies keine Verwendung; der einzige Server, mit dem sie spricht, ist der unter "Was das Gerät verlässt" beschriebene Update-Dienst, der neue Versionen des App-eigenen Codes liefert und nichts über Sie transportiert. Die Website setzt keine Cookies und speichert nichts auf Ihrem Gerät; ihre Seiten und Schriften lädt sie von ihrer eigenen Adresse. Sie zählt jedoch Besuche, und zwar mit Umami, einem datenschutzfreundlichen Statistikwerkzeug auf einem Server, den der Entwickler unter analytics.codexo.at selbst betreibt — kein Dritter; die Statistiken werden an niemanden weitergegeben oder verkauft. Für jeden Seitenaufruf erfasst es die Seite, die Seite, von der Sie kamen, Ihren Browser, Ihr Betriebssystem, Ihren Gerätetyp, Ihre Bildschirmgröße und Sprache sowie das aus Ihrer IP-Adresse abgeleitete Land, die Region und die Stadt. Außerdem erfasst es einige Aktionen auf der Seite: welche Schaltflächen Sie anklicken (die Store-Buttons, "Get the app" und ähnliche), welche Fragen Sie öffnen, welches Telefon Sie in einer Anleitung wählen, welche Abschnitte Sie erreichen, wie weit Sie scrollen und zu welcher Website ein Link Sie führt. Ihre IP-Adresse selbst wird nicht gespeichert. Besuche werden über einen aus IP-Adresse und Browser berechneten Code zusammengefasst, der sich jeden Monat ändert; die Statistik kann daher innerhalb eines Monats einen wiederholten von einem neuen Besuch unterscheiden, Sie aber weder identifizieren noch auf andere Websites verfolgen oder Ihre Besuche über Monate hinweg verknüpfen. Nichts von der Website ist mit der App oder mit dem verbunden, was Sie darin erfassen. Rechtsgrundlage ist unser berechtigtes Interesse daran zu wissen, wie die Website gefunden und genutzt wird (Art. 6 Abs. 1 lit. f DSGVO). Sie können jederzeit widersprechen: Aktivieren Sie in Ihrem Browser die Einstellung "Do Not Track", die die Website beachtet, indem sie nichts sendet, oder blockieren Sie analytics.codexo.at. Die Statistiken werden höchstens 24 Monate aufbewahrt. Ihr Hosting-Anbieter sieht zwangsläufig, was jeder Webserver sieht, um eine Seite auszuliefern, etwa Ihre IP-Adresse in seinen technischen Protokollen; wir fügen dem nichts hinzu und erhalten nichts daraus.
Drei Quellen, alle von Ihnen ausgelöst: was Sie in das Journal eintippen; CSV-Dateien, die Sie importieren (aus einer Tabelle oder dem Export eines anderen Trackers — lokal gelesen, nie hochgeladen); und ein JSON-Backup, das Sie wiederherstellen. Von sich aus bezieht die App Journaldaten von nirgendwo.
Ihr Profil (Größe, Startgewicht, Zielgewicht, Startdatum, Einheiten); die Medikamente, die Sie anlegen (Name, Wirkstoff, Verabreichungsweg, Konzentration, aktuelle Dosis, Zeitplan, Farbe, Dosis-Voreinstellungen, Aktiv-Status); und jeden Journaleintrag — Wiegungen und Taillenwerte, Dosis-Ereignisse (Datum, Uhrzeit, Dosis, Injektionsstelle, Schmerz, Status, Notizen), Körpermaße, Ernährung, Symptome, Wohlbefinden und Laborwerte. Daneben speichert sie Ihre Erinnerungseinstellungen, Ihre Theme-Wahl, Ihre Sprach- und Ziffernwahl, ob Sie das Absturz-Reporting eingeschaltet haben, und den Nachweis, dass Sie diese Dokumente akzeptiert haben (Version und Datum). Ein aus einem Backup oder Import wiederhergestelltes Profil kann außerdem ein Geschlecht und ein Geburtsdatum enthalten; die App fragt nach beidem nicht.
In einer Datenbank im privaten Speicher der App auf diesem Gerät, unter Schlüsseln mit dem Präfix "shoteo:". Daneben hält die App einen einfachen JSON-Schnappschuss desselben Journals als Datei im selben privaten Speicher, fortlaufend neu geschrieben, während Sie erfassen. Er existiert, damit Ihr Journal eine Datenbank überlebt, die die App nicht mehr öffnen kann, und damit es beim Einrichten eines neuen Telefons wiederhergestellt werden kann. Ein kleines Duplikat zweier Werte — Ihres Profils und Ihres Einwilligungsnachweises — liegt im Schlüssel-Wert-Speicher des Geräts, damit die App sich erholen kann, wenn die Hauptdatenbank nach einem Neustart leer zurückkommt. Nichts wird außerhalb der Sandbox der App gespeichert. Weil alles in dieser Sandbox liegt, nimmt die geräteeigene Sicherung Ihres Telefons — iCloud-Backup auf dem iPhone, Auto Backup auf Android — es mit auf; genau das trägt Ihr Journal auf ein neues Telefon. Diese Kopie erstellt Ihr Telefon, nicht die App, und sie unterliegt den Bedingungen ihres Anbieters; Sie können sie unterbinden, indem Sie die Sicherung in Ihren Systemeinstellungen ausschalten.
Ihre Gesundheitsdaten werden von der App nirgendwohin gesendet. Sie stellt keine Netzwerkanfragen, in denen Ihr Journal steckt: kein Sync, keine Analyse und keine Werbung. Das Absturz-Reporting ist die eine Ausnahme. Sie wählen es beim ersten Einrichten — das Kästchen ist angehakt, und wenn Sie den Haken entfernen, wird nie etwas gesendet — und Sie können es jederzeit in den Einstellungen ändern. Ist es an, sendet ein Absturz seine Fehlermeldung und den Stacktrace — die technische Spur, welcher Code versagt hat — an einen Server des Entwicklers unter monitoring.codexo.at. Es transportiert nie Ihr Journal und nichts, was Sie benennt: kein Konto, keine E-Mail-Adresse, keine Werbe-Kennung, keinen Gerätenamen. Zwei Dinge transportiert es doch, und wir sagen das lieber, als das Gegenteil nahezulegen: einen technischen Fingerabdruck dieser App-Installation, der keine Person identifiziert, aber auf jedem Bericht desselben Telefons gleich ist, und — wie bei jeder Anfrage an jede Website — Ihre Netzwerkadresse, die der Server sieht. Alles löschen schaltet das Reporting wieder aus. Eine Art von Netzwerkanfrage stellt die App allerdings selbst: Beim Start fragt sie ihren Update-Dienst (EAS Update, betrieben von Expo), ob eine neuere Version ihres eigenen Codes verfügbar ist, und lädt sie gegebenenfalls herunter. Diese Anfrage betrifft die App, nicht Ihr Journal — sie enthält die zur Beantwortung nötigen technischen Angaben: App-Version und Plattform sowie eine bei der Installation zufällig erzeugte Kennung, damit der Dienst Updates zuverlässig ausliefern kann, dazu die IP-Adresse, die jede Internetanfrage zwangsläufig offenlegt. Niemals enthält sie etwas, das Sie erfasst haben. Diese Kennung gehört zu dieser Installation der App, nicht zu Ihnen — die App weiß nichts über Sie, das sie daran knüpfen könnte — und sie verschwindet mit der App, wenn Sie sie löschen. Ihre Daten verlassen das Gerät auf zwei Wegen, beide in Ihrer Hand. Der eine: Sie exportieren oder teilen es ausdrücklich — ein JSON-Backup, eine CSV-Datei oder eine PDF-Zusammenfassung — und dann geht es dorthin, wohin Sie es senden; ab diesem Moment entscheidet die empfangende App oder der empfangende Dienst, nicht Shoteo, was damit geschieht. Der andere: die geräteeigene Sicherung Ihres Telefons, falls Sie sie eingeschaltet haben — das Betriebssystem kopiert den Speicher der App zusammen mit dem aller anderen Apps zu iCloud oder zu Google, unter Ihrer Vereinbarung mit ihnen.
Erinnerungen werden lokal von Ihrem Gerät geplant und zugestellt, und nur, wenn Sie sie einschalten und die Berechtigung erteilen. Sie enthalten den Namen des Medikaments sowie Datum und Uhrzeit einer geplanten Dosis — behandeln Sie sie also wie jede Benachrichtigung, die auf einem Sperrbildschirm sichtbar ist. Sie können sie in den Einstellungen ausschalten oder die Berechtigung in den Systemeinstellungen entziehen.
Die Einstellungen bieten ein vollständiges JSON-Backup (alles, in die App zurückspielbar), eine CSV-Datei je Datentyp und eine PDF-Zusammenfassung für Ihre Ärztin oder Ihren Arzt. Alle drei entstehen auf dem Gerät und werden an das Teilen-Menü Ihres Systems übergeben.
"Alle Daten löschen" in den Einstellungen löscht die Datenbank, die JSON-Schnappschuss-Datei, die Duplikate und Ihren Einwilligungsnachweis und versetzt die App in den Zustand des ersten Starts zurück. Aus der App heraus lässt sich das nicht rückgängig machen. Eine Kopie, die die geräteeigene Sicherung Ihres Telefons bereits genommen hat, liegt außerhalb der Reichweite der App — löschen Sie diese über Ihre Systemeinstellungen, wenn auch sie verschwinden soll. Das Löschen der App selbst entfernt ihren Speicher ebenfalls. Dateien, die Sie bereits exportiert oder geteilt hatten, liegen außerhalb der Reichweite der App — löschen Sie sie dort, wohin Sie sie gesendet haben.
Der wichtigste Schutz ist architektonisch: Daten, die Ihr Gerät nie verlassen, können nicht unterwegs abgefangen, auf keinem Server erbeutet und von keinem Dienstleister falsch behandelt werden — diese Orte existieren für sie nicht. Auf dem Gerät liegen sie im abgeschotteten privaten Speicher der App, den das Betriebssystem von anderen Apps isoliert, und sie sind von der Geräteverschlüsselung und der Bildschirmsperre erfasst, die Sie verwenden. Die eine Kopie, die reist, ist die geräteeigene Sicherung Ihres Telefons, falls Sie sie nutzen — sie wird von Apple oder Google gesichert, nach dem Standard ihrer Bedingungen, nicht von uns. Damit ist die Sicherheit Ihres eigenen Geräts — Bildschirmsperre, Systemupdates — der Teil, der am meisten zählt, und er liegt in Ihrer Hand.
Für Ihre Gesundheitsdaten gibt es keine. Abschnitte über Standardvertragsklauseln oder Auftragsverarbeiter in Übersee stehen in Datenschutzerklärungen, weil personenbezogene Daten zwischen Ländern wandern; Ihr Journal wandert gar nicht. Zwei Nuancen: Die oben beschriebene Update-Anfrage erreicht Server von Expo, einem Unternehmen in den Vereinigten Staaten — sie enthält die dort beschriebenen technischen Angaben, einschließlich der zufälligen Installations-Kennung, und nichts aus Ihrem Journal. Und ist die geräteeigene Sicherung Ihres Telefons aktiv, richtet sich der Ort dieser Sicherung nach Ihrer Vereinbarung mit Apple oder Google, nicht nach uns.
Shoteo ist nicht für Kinder gedacht. Es richtet sich an Erwachsene, die ihre eigene verordnete Behandlung dokumentieren, und kein Teil davon ist für Minderjährige gestaltet, beworben oder bestimmt — auch nicht für Kinder unter 13 Jahren im Sinne der US-COPPA-Regel, von denen wir wissentlich nichts erheben, so wie wir von niemandem etwas erheben. Die App führt keine Altersprüfung durch, weil sie nichts erhebt, das eine ermöglichen würde: Es gibt kein Konto und keine identifizierenden Angaben. Hat ein Kind die App auf einem geteilten Gerät benutzt, lässt sich das Journal mit "Alle Daten löschen" in den Einstellungen vollständig entfernen.
Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten ist:
Codexo e.U.
Grillgasse 19/46, 1110 Vienna
Österreich
Firmenbuch: FN 671926b, Handelsgericht Wien
E-Mail: contact@codexo.at
Beachten Sie, was das praktisch bedeutet: Weil Ihr Journal Ihr Gerät nie verlässt, hält der Verantwortliche es nicht. Wir können Ihre Daten nicht einsehen, nicht wiederherstellen und nicht für Sie löschen — und ebenso wenig können wir sie verlieren oder an irgendjemanden weitergeben.
Nach der DSGVO haben Sie das Recht auf Auskunft über Ihre personenbezogenen Daten, auf Berichtigung, auf Löschung, auf Einschränkung der Verarbeitung und auf Widerspruch sowie das Recht, sie in einem übertragbaren Format zu erhalten. Weil Ihre Gesundheitsdaten auf Ihrem Gerät bleiben und wir keine Kopie halten, üben Sie diese Rechte direkt in der App aus statt bei uns: Das Journal selbst ist Ihre Auskunft, das Bearbeiten eines Eintrags Ihre Berichtigung, die JSON- und CSV-Exporte Ihre Datenübertragbarkeit und "Alle Daten löschen" Ihre Löschung. Eine an uns gerichtete Anfrage auf Kopie oder Löschung Ihres Journals fände nichts vor, worauf sie sich beziehen könnte. Wenn Sie glauben, dass Ihre Datenschutzrechte verletzt wurden, können Sie sich bei der Österreichische Datenschutzbehörde (Austrian Data Protection Authority), Barichgasse 40-42, 1030 Vienna, dsb.gv.at beschweren, oder bei der Aufsichtsbehörde Ihres Wohnorts.
Wenn Sie in den Vereinigten Staaten leben, geben Ihnen die Datenschutzgesetze der Bundesstaaten — Kaliforniens CCPA/CPRA, Washingtons My Health My Data Act und die wachsende Zahl ähnlicher Gesetze — Rechte an Gesundheitsdaten, die ein Unternehmen erhebt, verkauft oder teilt. Shoteos Position ist unter allen dieselbe: Wir erheben Ihre Gesundheitsdaten nicht, wir verkaufen sie nicht, wir teilen sie nicht, und wir nutzen sie für keinerlei Werbung, zielgerichtet oder nicht — wir haben sie schlicht nie. Es gibt nichts abzubestellen und keinen Antrag zu stellen, denn alles, was diese Gesetze Sie verlangen lassen, liegt bereits in Ihrer Hand: Ihre Auskunft ist das Journal selbst, Ihre Löschung ist "Alle Daten löschen", Ihre Datenübertragbarkeit ist der Export. Shoteo ist keine dem HIPAA unterliegende Stelle, und Ihr Journal ist nicht Teil irgendeiner Patientenakte — es ist eine private Notiz auf Ihrem eigenen Telefon, geschützt dadurch, dass sie dort bleibt.
Gesundheitsdaten sind "besondere Kategorien" personenbezogener Daten nach Artikel 9 DSGVO — die Klasse, die das Gesetz am strengsten schützt. Shoteo erfüllt diese Pflicht architektonisch statt vertraglich: Ihr Journal liegt auf Ihrem Gerät unter Ihrer eigenen Kontrolle, und wir erhalten und verarbeiten es nicht; es gibt also keine Verarbeitung durch uns, für die eine Rechtsgrundlage nötig wäre. Der Nachweis, dass Sie diese Erklärung und den Hinweis akzeptiert haben, liegt ebenfalls auf Ihrem Gerät, damit die App erkennen kann, ob sich die Bedingungen, denen Sie zugestimmt haben, seither geändert haben. Daten werden so lange aufbewahrt, wie Sie sie behalten: Nichts läuft von selbst ab, und alles wird entfernt, wenn Sie es in der App löschen oder die App deinstallieren.
Diese Erklärung wird mit der App ausgeliefert und ändert sich nur mit einem App-Update. Betrifft eine Änderung das, dem Sie zugestimmt haben, vermerkt die App eine neue Version dieser Dokumente und bittet Sie, sie erneut zu lesen und zu akzeptieren, bevor Sie fortfahren. Die jeweils aktuelle Version ist stets die hier gezeigte, und derselbe Text ist unter der unten genannten Adresse veröffentlicht.
Fragen zu dieser Erklärung oder zu Ihren Daten: contact@codexo.at.