Datenschutz

Diese Seite sagt genau, was das Gerät verlässt, wann, und wie du es abstellst. Sie ist kurz, weil es wirklich nicht viel ist.

Was auf deinem Gerät bleibt

Deine Artikel, wie viel du von jedem hast, was du wann gekauft hast, deine Einkaufsliste, der Name deines Haushalts und deine Einstellungen. Alles wird lokal gespeichert und lokal gelesen. Die Vorhersagen sind Rechnungen, die auf deinem Telefon laufen.

Alles, was Daten von deinem Gerät sendet

Neun Dinge, und sieben davon warten darauf, dass du dich entscheidest. Die zwei, die das nicht tun, sind markiert, denn eine solche Liste nützt nur etwas, wenn sie vollständig ist. Jeder Punkt steht für sich.

• Sicherung. Wenn du eine E-Mail-Adresse hinzufügst, damit dein Vorrat einen Geräteverlust übersteht, speichern wir diese Adresse und laden eine Kopie deines Regals hoch.
• Haushalt teilen. Wenn du dein Regal mit den Menschen teilst, mit denen du wohnst, wird es hochgeladen, damit ihre Telefone es lesen und ändern können.
• Welche Version fragt. Bei jedem Upload oben steht dabei, welche Version der App ihn gesendet hat, damit wir erkennen, wenn eine alte noch im Einsatz ist, und den Server nicht so ändern, dass sie kaputtgeht. Wir zählen Versionen, keine Menschen: kein Konto, kein Gerät und kein Teil deines Regals hängt an dieser Zählung. Sie benennt die App, nicht dich.
• Nutzungsstatistiken. Aus, solange du sie nicht in den Einstellungen einschaltest. Aus ist die Voreinstellung, und wenn sie aus bleiben, ändert das nichts an der Funktionsweise der App.
• Einen Beleg lesen. Wenn du zustimmst, sobald der Scanner fragt — die scharfe Lesung —, werden die Einkaufszeilen zum Benennen gesendet: die, die einen Namen und einen Preis tragen, und nichts anderes von dem, was die Kasse gedruckt hat. Der Laden, Datum und Uhrzeit und die Kartenzeile werden hier auf deinem Telefon verworfen, bevor etwas es verlässt. Die Zeilen gehen an ein KI-Modell, das über ein Unternehmen namens OpenRouter erreicht wird, und wir speichern nichts davon. Das Foto selbst verlässt dein Telefon nie. Sagst du nein oder lässt du es in den Einstellungen aus, wird der Scanner weggeräumt: Nichts wird gesendet, und nichts, was du bereits gescannt hast, wird angetastet. Die Kennung deines Haushalts geht mit den Zeilen mit, damit das Lesen ihr zugerechnet werden kann — dafür braucht es keine E-Mail und kein Konto, und diese Kennung ist alles, was der Server darüber erfährt, wer du bist.
• Nachrichten, die du uns schickst. Wenn du uns aus den Einstellungen schreibst, erhalten wir die Nachricht und das, was mit ihr mitkommt. Unten vollständig beschrieben.
• Einen Barcode nachschlagen — nur die iPhone- und Android-App. Wenn du ein Produkt scannst, wird der Barcode an Open Food Facts gesendet, eine öffentliche Lebensmitteldatenbank, die mit Name und Größe des Produkts antwortet. Die Anfrage nennt außerdem, welche App fragt — „Ullage“, ihre Version und unsere Support-Adresse —, weil sie von jedem Client verlangen, sich zu erkennen zu geben; das benennt uns, nicht dich. Sonst geht nichts mit: Sie erfahren, dass jemand dieses Produkt nachgeschlagen hat, sie erfahren nicht, wer, und nichts von deinem Regal geht mit. Die Web-App hat keinen Scanner und fragt sie nie etwas. Es wird nichts gesendet, wenn du den Artikel stattdessen von Hand hinzufügst.
• Eine Shop-Website öffnen. Wenn du auf Online suchen tippst — oder auf einen Shop, den du als Favorit gesetzt hast —, übergibt die App dem Browser deines Telefons eine Suchadresse bei diesem Shop, in der der Name des Artikels steht, und der Browser ruft sie auf. Ab da ist es ein ganz normaler Besuch auf deren Seite: Sie sehen das gesuchte Wort und alles, was jede Website sieht, wenn du ankommst, einschließlich dessen, was dein Browser bereits für sie gespeichert hatte. Sonst geht nichts von deinem Regal mit, uns wird nicht mitgeteilt, dass du dort warst, und in der Adresse steckt kein Empfehlungs- oder Partnercode. Ohne dein Tippen passiert überhaupt nichts.
• Absturzberichte — die Ausnahme. Die App meldet ihre eigenen Abstürze ungefragt, weil ein Absturz der eine Moment ist, in dem sie nicht fragen kann. Das gilt für alle drei — Web, iPhone und Android. Deine E-Mail-Adresse und deine IP-Adresse werden entfernt, bevor der Bericht rausgeht.

Was die Sicherung oder ein geteilter Haushalt enthält

• Der Name deines Haushalts sowie Name, Farbe und Avatar, die jedes Mitglied gewählt hat
• Deine Artikel: was sie sind, Größe und Sorte
• Kaufereignisse: welcher Artikel, wann, wer ihn eingetragen hat, wie viele, die Marke, falls ein Beleg sie genannt hat, aus welchem deiner Läden er stammt und was er gekostet hat
• Die Läden, die du benannt hast, und die Barcodes, die du einem Artikel zugeordnet hast
• Korrekturen: wann du uns gesagt hast, dass eine Vorhersage falsch war, und was sie vorhergesagt hatte
• Deine Einkaufsliste und der Einladungscode, wenn du teilst

Kein Standort, keine Kontakte, keine Zahlungsdaten: Wir fragen nie danach, und die App hat keinen Code, der sie liest. Auch nicht deine Fotos — Ullage durchsucht die Galerie nie, legt keinen Index darüber an und sieht kein Bild, das du ihm nicht selbst gegeben hast. Zahlungsdaten meint, wie du bezahlst — eine Karte, ein Konto — und nicht, was eine Dose Tomaten gekostet hat: Preise stehen oben, weil dein Regal sie festhält, und keiner davon ist ein Weg, dir Geld abzunehmen. Die einzige Ausnahme von alledem ist ein Beleg, den du selbst scannst — ob du ihn fotografierst oder aus der Galerie auswählst — und auf dem steht, was die Kasse gedruckt hat. Darum fragt der Scanner vorher, darum sagt er, was er senden wird, und darum verlässt das Foto selbst das Gerät nie.

Deine E-Mail-Adresse

Wird nur erhoben, wenn du eine hinzufügst, und nur dazu benutzt, dir den Bestätigungscode zu senden und dein Regal auf einem neuen Telefon wiederherzustellen. Sie wird nie für Werbung verwendet, nie verkauft und nie mit Nutzungsstatistiken verknüpft.

Nutzungsstatistiken, wenn du sie einschaltest

Jeder Eintrag ist eine Zeile: welcher Bildschirm oder Meilenstein, die Plattform, die App-Version, deine Konto-ID und die Zeit.

Nie enthalten sind der Inhalt deines Vorrats, was du gekauft hast, deine E-Mail-Adresse oder dein Standort. Es dient dazu zu sehen, welche Teile der App funktionieren und welche ignoriert werden — nichts weiter, und es geht an niemanden sonst.

Nachrichten, die du uns schickst

Wenn du uns aus den Einstellungen schreibst, erhalten wir deinen Text, welche der vier Arten du gewählt hast und — nur wenn du sie einträgst — eine E-Mail-Adresse für die Antwort. Dazu kommen deine App-Version, Plattform, Sprache, ob du ein Konto hast, der Sync-Status, der Zeitpunkt der letzten Synchronisierung und wie viele Dinge und Personen zu deinem Regal gehören.

Nie das Regal selbst: keine Artikelnamen, keine Läden, keine Preise. Eine Nachricht bleibt, bis wir uns darum gekümmert haben. Alle Daten löschen entfernt sie nicht, denn diese Schaltfläche räumt nur dieses Gerät auf — Konto löschen tut es, zusammen mit allem anderen von dir, das wir haben.

Fehlerberichte

Die Web-, iPhone- und Android-Version melden Abstürze alle an Sentry, damit wir sie beheben können — deine E-Mail-Adresse und deine IP-Adresse werden entfernt, bevor der Bericht gesendet wird. Jede App meldet in ihr eigenes Projekt, sodass ein Fehler der einen nie mit einem Fehler der anderen vermischt wird.

Kein Tracking, keine Werbung

Wir verfolgen dich nicht über andere Apps oder Websites. Es gibt keine Werbe-ID, kein Werbenetzwerk, kein Analyse-Kit von Dritten und keinen Datenhändler. Nichts, was du hier tust, wird mit Daten über dich von irgendwo anders zusammengeführt. Darum zeigt iOS dir nie eine Tracking-Abfrage — es gibt nichts zu fragen.

Wer es verarbeitet

Hochgeladene Daten liegen in einer Postgres-Datenbank und einem Authentifizierungsdienst, die Supabase in unserem Auftrag betreibt, geschützt durch Regeln auf Zeilenebene, sodass nur Mitglieder deines Haushalts deinen Haushalt lesen können. Supabase verarbeitet sie für uns und für nichts Eigenes.

Zwei weitere sind beteiligt, und dein Telefon erreicht sie unterschiedlich. Open Food Facts beantwortet Barcode-Abfragen, und dein Telefon fragt direkt an — ihre Server sehen die Anfrage also von deiner Verbindung kommen, zusammen mit dem Barcode sowie Name und Version der App. Nichts von dir. OpenRouter gibt den Text eines gescannten Belegs an das Modell weiter, das die Artikel benennt, und wird von unserem Server aufgerufen statt von deinem Telefon, sieht also nie, woher der Beleg kam. Keinem von beiden wird gesagt, wer du bist, und keinem wird etwas aus deinem Regal gesendet.

Wie lange wir es aufbewahren

So lange, wie dein Konto besteht. Löschst du das Konto, verschwindet die Kopie auf dem Server mit ihm — außer bei einem Haushalt, in dem noch jemand anderes Mitglied ist: der bleibt bei den anderen, und dein Name wird daraus entfernt.

Was du dagegen tun kannst

• Eine Kopie deines Regals sichern — Einstellungen. Schreibt alles auf diesem Telefon in eine Datei, die dir gehört. Du kannst sie auf jedem Telefon wieder in die App einlesen, mit Sicherungsdatei einlesen.
• Konto löschen — Einstellungen. Löscht die Kopie auf dem Server. Dein Vorrat bleibt auf dem Telefon, solange du nicht auch dessen Löschung verlangst.
• Alle Daten löschen — Einstellungen. Löscht alles auf diesem Gerät.
• Freigabe beenden — Einstellungen. Der Haushalt synchronisiert nicht mehr und der Einladungscode funktioniert nicht länger.
• Nutzungsstatistiken abschalten — Einstellungen. Sie sind von Anfang an aus, und wenn du sie wieder ausschaltest, werden ab sofort keine neuen Einträge mehr erfasst.

Dafür gibt es in den Einstellungen eine Schaltfläche — Alles vom Server anfordern, direkt neben der, die dein Regal sichert.

Kinder

Ullage ist ein Haushaltswerkzeug für Erwachsene und richtet sich nicht an Kinder unter 13. Wir erheben wissentlich nichts von ihnen.

Änderungen

Wenn sich diese Erklärung so ändert, dass es die erhobenen Daten betrifft, ändert sich das Datum oben, und die App sagt es dir, bevor die Änderung gilt.

Kontakt

Fragen zu all dem oder ein Anliegen zu deinen Daten: privacy@ullage.app.