This Privacy Policy explains how ("we", "our", or "us"), the developer of unmask, collects, uses, and protects your personal data when you use the unmask iOS application (the "App") and the website at getunmask.org (the "Website").

If you have any questions, please contact us at hey@getunmask.org.

1. Data Controller

Email: hey@getunmask.org

2. What Data We Collect

We collect only the data necessary to provide the App's features.

a) App without an account (Table Mode)

No personal data is collected or stored. Answers entered during Table Mode are processed only on your device and are never sent to our servers.

b) App with an account (Answer Mode)

• Email address – to send you a one-time login code or magic link, or to associate your Apple ID.
• Display name – an optional name or auto-generated username shown on your profile.
• Answers – your text responses to open-ended questions and your choices in "This or That" rounds, saved to your profile.
• Connection codes – anonymised codes used to add friends within the App.
• Account metadata – account creation date, last login, app version (for support and debugging).

c) Sign in with Apple

If you use Sign in with Apple, Apple may share your name and email address (or a private relay email) with us. We store only the email address and the Apple user identifier required to authenticate your account.

d) Website

The website does not collect any personal data automatically. Standard server access logs (IP address, browser, timestamp) may be retained for up to 14 days for security purposes.

If you contact us by email to request beta access, we store your email address solely to reply to you and to notify you about the App. No data is submitted through the website itself - you initiate contact from your own email client.

3. How We Use Your Data

• To authenticate you and maintain your account.
• To send you a one-time login link via email.
• To save and display your answers and profile information within the App.
• To enable friend connections within the App.
• To reply to beta access requests you send us by email.
• To fix bugs and improve the App (aggregated, non-identifiable analytics only).

We do not sell your data. We do not use your data for advertising.

4. Legal Basis for Processing (GDPR)

• Contract performance (Art. 6(1)(b) GDPR) – processing your email address and answers to provide the App's core features.
• Legitimate interests (Art. 6(1)(f) GDPR) – security logging and debugging to keep the service running reliably.
• Legitimate interests (Art. 6(1)(f) GDPR) – responding to beta access requests you initiate by email.

5. Third-Party Services

We use the following sub-processors to operate the App:

• Supabase, Inc. (San Francisco, CA, USA) – database and authentication infrastructure. Your account data and answers are stored on Supabase servers in Frankfurt, Germany (EU). Data remains within the EU. Supabase is SOC 2 Type II certified. Transfers are covered by Standard Contractual Clauses where applicable.
  supabase.com/privacy
• Resend, Inc. (USA) – transactional email delivery for login links. Email delivery is processed via Resend's EU infrastructure in Ireland (eu-west). Your email address is passed to Resend solely for the purpose of sending login emails.
  resend.com/legal/privacy-policy
• Apple Inc. – if you use Sign in with Apple, Apple processes your identity data per their own Privacy Policy.
  apple.com/legal/privacy

No other third parties have access to your personal data.

6. Data Retention

• Account data and answers – retained while your account is active. Deleted within 30 days after account deletion.
• Login emails – Resend delivery logs retained per Resend's policy (typically 30 days).
• Beta contact emails – retained until the App launches publicly or until you request deletion.
• Server logs – retained for up to 14 days.

7. Your Rights

Under GDPR, you have the right to:

• Access – request a copy of the data we hold about you.
• Rectification – correct inaccurate data.
• Erasure – request deletion of your data. You can also delete your account in the App under Settings → Delete Account.
• Portability – request your data in a machine-readable format. The App provides a data export option in Settings.
• Restriction – request that we restrict processing of your data.
• Objection – object to processing based on legitimate interests.
• Withdraw consent – for any processing based on your consent, at any time.

To exercise these rights, email hey@getunmask.org. We will respond within 30 days. You also have the right to lodge a complaint with your local data protection authority.

8. Children's Privacy

unmask is not directed at children under the age of 16. We do not knowingly collect personal data from children. If you believe a child has provided us with personal data, please contact us and we will delete it promptly.

9. Data Security

We take reasonable technical and organisational measures to protect your data, including encrypted connections (HTTPS/TLS), secure token-based authentication, and row-level security policies in our database.

10. International Data Transfers

Your data is stored within the EU: on Supabase servers in Frankfurt, Germany and processed via Resend's infrastructure in Ireland. As both providers are US-headquartered, US corporate governance may apply in limited circumstances. Any such transfers are covered by Standard Contractual Clauses or other legally recognised mechanisms.

11. Changes to This Policy

We may update this Privacy Policy from time to time. We will notify you of material changes via the App or by email. Continued use of the App after changes constitutes acceptance of the updated policy.

12. Contact

Questions or requests regarding this Privacy Policy:
hey@getunmask.org

Diese Datenschutzerklärung erläutert, wie („wir", „uns" oder „unser"), Entwicklerin der App unmask, personenbezogene Daten erhebt, verarbeitet und schützt, wenn du die unmask iOS-App (die „App") und die Website getunmask.org (die „Website") nutzt.

Bei Fragen wende dich bitte an: hey@getunmask.org

1. Verantwortliche Person

E-Mail: hey@getunmask.org

2. Welche Daten wir erheben

Wir erheben ausschließlich die Daten, die zur Bereitstellung der App-Funktionen notwendig sind.

a) App ohne Konto (Table Mode)

Es werden keine personenbezogenen Daten erhoben oder gespeichert. Im Table Mode eingegebene Antworten werden ausschließlich auf deinem Gerät verarbeitet und niemals an unsere Server übertragen.

b) App mit Konto (Answer Mode)

• E-Mail-Adresse – zum Versand eines Einmal-Login-Codes bzw. Magic Links oder zur Verknüpfung mit deiner Apple ID.
• Anzeigename – ein optionaler Name oder automatisch generierter Benutzername.
• Antworten – deine Texteingaben zu offenen Fragen und deine Entscheidungen bei „This or That"-Runden.
• Verbindungscodes – anonymisierte Codes zum Hinzufügen von Freunden innerhalb der App.
• Kontometadaten – Erstellungsdatum, letzter Login, App-Version (für Support und Debugging).

c) Sign in with Apple

Bei Nutzung von „Sign in with Apple" kann Apple deinen Namen und deine E-Mail-Adresse (oder eine private Relay-E-Mail) an uns übermitteln. Wir speichern ausschließlich die E-Mail-Adresse und den Apple-Nutzerkenner zur Authentifizierung.

d) Website

Die Website erhebt keine personenbezogenen Daten automatisch. Standard-Serverzugriffsprotokolle (IP-Adresse, Browser, Zeitstempel) können aus Sicherheitsgründen bis zu 14 Tage aufbewahrt werden.

Wenn du uns per E-Mail kontaktierst, um Beta-Zugang anzufragen, speichern wir deine E-Mail-Adresse ausschließlich zur Antwort und zur Information über die App. Die Datenübermittlung erfolgt über deinen eigenen E-Mail-Client – die Website selbst übermittelt keine Daten.

3. Zwecke der Datenverarbeitung

• Authentifizierung und Kontoverwaltung.
• Versand von Einmal-Login-Links per E-Mail.
• Speicherung und Anzeige deiner Antworten und Profilinformationen in der App.
• Ermöglichung von Freundesverbindungen innerhalb der App.
• Beantwortung von Beta-Zugriffsanfragen, die du per E-Mail initiiert hast.
• Fehlerbehebung und Verbesserung der App (ausschließlich aggregierte, nicht-identifizierbare Daten).

Wir verkaufen deine Daten nicht. Wir nutzen deine Daten nicht für Werbezwecke.

4. Rechtsgrundlagen der Verarbeitung (DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) – Verarbeitung deiner E-Mail-Adresse und Antworten zur Bereitstellung der App-Kernfunktionen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) – Sicherheitsprotokollierung und Debugging zur zuverlässigen Bereitstellung des Dienstes.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) – Beantwortung von Beta-Zugriffsanfragen, die du per E-Mail an uns gerichtet hast.

5. Auftragsverarbeiter

Wir setzen folgende Dienstleister ein:

• Supabase, Inc. (San Francisco, CA, USA) – Datenbank- und Authentifizierungsinfrastruktur. Deine Kontodaten und Antworten werden auf Supabase-Servern in Frankfurt, Deutschland (EU) gespeichert. Die Daten verbleiben innerhalb der EU. Supabase ist SOC 2 Type II zertifiziert. Übermittlungen sind durch Standardvertragsklauseln abgesichert.
  supabase.com/privacy
• Resend, Inc. (USA) – Transaktionaler E-Mail-Versand für Login-Links. Der Versand erfolgt über die EU-Infrastruktur von Resend in Irland (eu-west). Deine E-Mail-Adresse wird ausschließlich zum Versand von Login-E-Mails weitergegeben.
  resend.com/legal/privacy-policy
• Apple Inc. – Bei Nutzung von „Sign in with Apple" verarbeitet Apple deine Identitätsdaten gemäß ihrer eigenen Datenschutzrichtlinie.
  apple.com/de/legal/privacy

Keine weiteren Dritten haben Zugriff auf deine personenbezogenen Daten.

6. Speicherdauer

• Kontodaten und Antworten – gespeichert solange dein Konto aktiv ist. Löschung innerhalb von 30 Tagen nach Kontolöschung.
• Login-E-Mails – Resend-Zustellprotokolle gemäß Resend-Richtlinie (in der Regel 30 Tage).
• Beta-Kontakt-E-Mails – bis zum öffentlichen Launch der App oder bis zu deiner Löschanfrage.
• Serverprotokolle – bis zu 14 Tage.

7. Deine Rechte

Gemäß DSGVO hast du folgende Rechte:

• Auskunft (Art. 15 DSGVO) – Anforderung einer Kopie der über dich gespeicherten Daten.
• Berichtigung (Art. 16 DSGVO) – Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO) – Anforderung der Löschung. Du kannst dein Konto auch direkt in der App unter Einstellungen → Konto löschen löschen.
• Datenübertragbarkeit (Art. 20 DSGVO) – Anforderung deiner Daten in maschinenlesbarem Format. Die App bietet eine Exportfunktion in den Einstellungen.
• Einschränkung (Art. 18 DSGVO) – Anforderung der Einschränkung der Verarbeitung.
• Widerspruch (Art. 21 DSGVO) – Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.
• Widerruf der Einwilligung – jederzeit möglich für einwilligungsbasierte Verarbeitungen.

Zur Ausübung dieser Rechte wende dich an hey@getunmask.org. Wir antworten innerhalb von 30 Tagen. Du hast außerdem das Recht, dich bei deiner zuständigen Datenschutzbehörde zu beschweren.

8. Datenschutz von Minderjährigen

unmask richtet sich nicht an Kinder unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Falls du der Ansicht bist, dass ein Kind uns Daten übermittelt hat, kontaktiere uns bitte – wir löschen diese Daten umgehend.

9. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz deiner Daten, darunter verschlüsselte Verbindungen (HTTPS/TLS), tokenbasierte Authentifizierung und Row-Level-Security-Richtlinien in unserer Datenbank.

10. Internationale Datenübermittlungen

Deine Daten werden innerhalb der EU gespeichert: auf Supabase-Servern in Frankfurt (Deutschland) und über die Resend-Infrastruktur in Irland. Etwaige Übermittlungen in Drittländer sind durch Standardvertragsklauseln oder andere rechtlich anerkannte Mechanismen abgesichert.

11. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir dich per App-Benachrichtigung oder E-Mail. Die fortgesetzte Nutzung der App nach Veröffentlichung von Änderungen gilt als Zustimmung zur aktualisierten Richtlinie.

12. Kontakt

Fragen oder Anfragen zu dieser Datenschutzerklärung:
hey@getunmask.org