Datenschutzerklärung

Nidox ist ein Familienorganizer für iOS, Android und das Web. Die Clients verwenden dasselbe Firebase-Projekt. Die Veröffentlichung auf Google Play und Android-Abokäufe sind noch in Vorbereitung. Diese Erklärung umfasst auch die öffentliche Website.

Verantwortlicher

Christian Casariego, Betreiber von Nidox. Postanschrift: [Geschäftsadresse ergänzen]. Kontakt: contact@nidox.app. Der rechtliche Anbieter und allfällige Registerangaben müssen bestätigt werden, bevor dieser Entwurf zur veröffentlichten Erklärung wird.

Daten und Zwecke

Persönliche Erinnerungen sind freiwillig und werden auf deinem Gerät geplant. Sobald das Gerät eine Erinnerung akzeptiert, speichert Nidox Titel, Kurzbeschreibung, Eintragskennung und geplanten Zeitpunkt in einem privaten Verlauf deines angemeldeten Kontos. Er erscheint im Mitteilungsbereich deiner anderen Geräte. Geräteberechtigungen und Vorlaufzeiten bleiben lokal. Einträge werden ab ihrem geplanten Zeitpunkt angezeigt; der Verlauf beschreibt eine geplante Erinnerung und belegt nicht, dass das Betriebssystem sie tatsächlich angezeigt hat. Abgesagte zukünftige Erinnerungen entfernt das planende Gerät; vergangene Einträge können im Verlauf bleiben. Dieser Verlauf löst keinen zusätzlichen Push aus. Offline geplante Erinnerungen funktionieren weiterhin; die Synchronisierung holt bei erneuter Verbindung auf. Abmeldung oder Konto-/Familienwechsel beendet die aktiven Erinnerungen auf diesem Gerät. Die App-Sperre blendet Mitteilungsdetails aus.

• Familie: Namen, Rollen, Farben, optionale Geburtsdaten/Alter und hochgeladene Avatare sowie eure Kalender, Aufgaben, Einkaufslisten, Kontakte, Mahlzeiten, Rezepte, Stundenpläne, Reisen, Buchungen, Budgets und Notizen. Damit stellen wir den gemeinsamen Organizer bereit und prüfen Berechtigungen.
• KI: übermittelte Anfragen, erkannte Dokumenttexte, angeforderte Stundenplanbilder, nötiger Familienkontext, private Gesprächsverläufe und Vorschläge. Nutzungs- und Kostenaufzeichnungen begrenzen das Familienkontingent und schützen vor Missbrauch.
• Betrieb: Geräte-/Push-Tokens, Integritätsprüfungen, IP-Adressen und technische Anfrage-/Fehlerdaten für Sicherheit, Zustellung, Hosting und Support. Nidox fügt keine Werbe-IDs und kein anbieterübergreifendes Werbetracking hinzu.
• Abos: geprüfte Store-Produkte, Kauf-/Transaktionsreferenzen, Laufzeiten und Status zum Freischalten von Pro. Kartendaten bleiben beim Store. Google-Play-Kauftokens sind nur serverseitig zugänglich und werden nicht mit der Familie geteilt.

Soweit die DSGVO gilt, beruhen für Konto und gebuchte Leistungen notwendige Vorgänge auf Vertragserfüllung, angemessene Sicherheits-, Betriebs- und Supportvorgänge auf berechtigten Interessen. Optionale Standortfreigaben und KI-Anfragen startest du selbst; soweit gesetzlich nötig, erfolgt die Verarbeitung auf Einwilligung. Du kannst optionale Vorgänge beenden. Ein Widerruf berührt zuvor rechtmässige Verarbeitung nicht. Trage fremde oder besonders schützenswerte Gesundheits-/Religionsdaten nur ein, wenn du die erforderliche Berechtigung und Rechtsgrundlage hast. Nidox trifft keine ausschliesslich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

Zugriff und Verschlüsselung

Angemeldete Familienmitglieder sehen Inhalte gemäss ihrer Rolle. Ein Profil ohne eigenes Konto gibt keinen Zugang zur App. KI-Gespräche sind dem jeweiligen Kontoinhaber zugeordnet. Follow Me verwendet zusätzlich eine ausdrücklich ausgewählte Zielgruppe.

Verbindungen und gespeicherte Cloud-Daten sind verschlüsselt. Nidox bietet keine Ende-zu-Ende-Verschlüsselung. Berechtigte Dienstadministratoren und Infrastrukturbetreiber können technisch auf gespeicherte Inhalte zugreifen, soweit dies zum Betrieb nötig ist. Familienrollen verhindern diesen administrativen Zugriff nicht. Empfänger können geteilte Informationen kopieren oder fotografieren.

Gemeinsamer Rezeptkatalog

Allgemeine Rezepte aus dem Rezeptstudio oder Assistenten werden in einem Katalog für angemeldete Nidox-Nutzer gespeichert. Er enthält Gericht, Zutaten, Anleitung, Küche, Ernährungs-/Allergenhinweise, geschätzte Nährwerte pro Portion und gegebenenfalls ein wiederverwendbares KI-Bild. Katalogeinträge enthalten keine Konto- oder Familien-ID, Namen, Allergieprofile oder ursprünglichen Anfragen. Beschreibe Essen statt persönlicher Angaben; erkannte persönliche/Kontaktdaten werden abgewiesen. Gespeicherte Familienrezepte, Essensplanung, Portionen und Einkaufslisten bleiben im privaten Familienbereich. Neue Generierung nutzt das bestehende KI-Kontingent; die Katalogsuche benötigt keine KI-Anfrage. Ein Bild kann fehlen, obwohl das Rezept erfolgreich erstellt wurde. Nährwerte und Allergenhinweise sind generierte Schätzungen, keine geprüfte Lebensmitteldatenbank oder Garantie für Allergiesicherheit: tatsächliche Zutaten und Verpackungen prüfen. Allgemeine Katalogrezepte können nach einer Kontolöschung bestehen bleiben, da sie keine Kontozuordnung haben. Private Wiederholungsdatensätze für Generierungen laufen nach einem Tag ab; die Löschung erfolgt asynchron.

Follow Me

Du startest selbst eine Sitzung, erteilst die Standortberechtigung und wählst Personen und eine begrenzte Dauer. Ein Ziel ist optional. Andere Mitglieder, auch Eigentümer, können die Freigabe nicht für dich einschalten. Der Server gibt stichprobenweise erfasste GPS-Punkte nur an berechtigte ausgewählte Personen weiter. Die Route dokumentiert nicht jeden Schritt. Follow Me ist kein Notfall- oder Sicherheitsdienst.

Auf iOS unterstützen erlaubte Hintergrundortung und Apple Maps die Reise und Ankunftsschätzung. Android nutzt einen sichtbaren Standortdienst für eine bei geöffneter App gestartete Sitzung; Akkubeschränkungen können sie unterbrechen. Im Web hängt die Ortung von der aktiven Seite ab. Android zeigt derzeit die Route ohne berechnete Ankunftszeit in der App; eine andere Navigations-App öffnest du ausdrücklich selbst.

Ausgewählte Telefone können Apple Live Activities oder Android-Fortschrittsmitteilungen erhalten. Deren Push-Daten enthalten Sitzungskennungen, Anzeigename, Zielbezeichnung, Zeitstempel und allenfalls Fortschritt/Ankunftsschätzung, aber keine präzisen Routenkoordinaten. Push-Anbieter verarbeiten diese Mitteilungsdaten. Beachte die Sichtbarkeit auf dem Sperrbildschirm.

Nach Verarbeitung von Stopp oder Ablauf des Timers verweigert der Server den Routenzugriff. Stopp entfernt die aktive Route; eine alle fünf Minuten gestartete Bereinigung entfernt abgelaufene Routen und versucht fehlgeschlagene Schritte erneut. Sitzungsmetadaten sind 24 Stunden nach Routenbereinigung zur Löschung vorgesehen. Android sendet erfasste Routenkoordinaten ohne dauerhafte Offline-Schreibwarteschlange; geladene Empfänger-Routenpunkte bleiben im Arbeitsspeicher und werden beim Beenden, Sperren oder Verlust der Berechtigung entfernt. Sitzungs- und Zielmetadaten können im gewöhnlichen lokalen Cache bleiben. Sicherungen und Empfängerkopien bestehen getrennt. Routen werden nicht an OpenAI geschickt.

Gerätefunktionen, Karten und Ortsbilder

Unterstützte Briefe, Fotos und PDFs werden lokal gelesen: mit Apple-Texterkennung auf iOS, gebündeltem ML Kit auf Android und lokaler OCR/PDF-Verarbeitung im Browser. Android-Dokumentkamera und Einladungs-QR-Erkennung arbeiten lokal; die Kameraberechtigung wird erst bei ihrer Nutzung angefragt. Einladungscodes werden vor einem bestätigten Beitritt in Firebase geprüft, Kamerabilder des Scanners werden nicht hochgeladen. Nur der von dir übermittelte Text geht an die KI, ausser beim Stundenplan-Bild-Fallback: Liefert lokale Erkennung keine brauchbaren Lektionen, kannst du ausdrücklich ein verkleinertes Stundenplanbild an die vorhandene KI-Verarbeitung einschliesslich OpenAI senden. Das erfolgt nicht automatisch. Unterstützte native Spracherkennung läuft auf dem Gerät. Nicht unterstützte Android-Geräte wechseln nicht automatisch auf Cloud-Erkennung. Optionale Browser-Spracheingabe startet erst, wenn du das Mikrofon aktivierst. Der Browser kann Audio an seinen Spracherkennungsanbieter senden; lokale Erkennung wird nicht zugesagt. Du kannst den Text bearbeiten; erst dein Senden übermittelt ihn an Nidox-KI. Geteilte Avatare werden in Firebase Storage hochgeladen.

Auf iOS oder Android gewählte Reisefotos bleiben lokal. Android kann private Fotoverknüpfungen und vorhandene Aufnahmedaten/EXIF-Positionen für das gewählte Konto, die Familie und Reise behalten; das Original bleibt beim Medienanbieter. Manuelle Auswahl erfordert keinen Vollzugriff auf die Mediathek. Die separate freiwillige Fotosuche fragt Foto-/Auswahlzugriff und gegebenenfalls Zugriff auf ursprüngliche Foto-Standortdaten an. Sie sucht lokal nach Reisedatum innerhalb von 150 km des Ziels. Fehlen Zielkoordinaten, geht der Zielname an den Android-System-Geocoder. Fotodateien und EXIF-Positionen werden nicht zu Nidox oder OpenAI hochgeladen. Die optionale Fotokarte lädt Kacheln für ihren angezeigten Ausschnitt wie unten erklärt. Reiseverknüpfungen lassen sich entfernen und Berechtigungen in Android-Einstellungen widerrufen.

Nidox-Termine in den Gerätekalender zu kopieren ist freiwillig. Android verlangt Lese- und Schreibrechte für Kalenderauswahl und Pflege eigener Kopien. Nidox liest Kalender-Metadaten und eigene gekennzeichnete Kopien; fremde Gerätekalendertermine werden nicht in Firebase hochgeladen. Automatische Kopien beginnen mit neuen oder markierten Terminen nach Aktivierung. Bereits verknüpfte Kopien können entsprechend deinen Nidox-Änderungen aktualisiert oder entfernt werden. Ausschalten verhindert neue Kopien, vorhandene bleiben verknüpft; beim Kalenderwechsel bleiben alte Kopien im bisherigen Kalender. Der Kalenderanbieter kann diese Inhalte nach seinen eigenen Bedingungen synchronisieren.

Verbundene Kalender sind eine separate freiwillige Funktion. Soweit verfügbar, verbindest du Google Kalender oder Outlook über deren Autorisierungsseiten und iCloud mit einem app-spezifischen Passwort. Wir rufen Kalendernamen und Termine ausschließlich aus ausdrücklich ausgewählten Kalendern ab, einschließlich Titel, Notizen, Orte und Datum. Importierte Termine sind zunächst nur für dein Konto sichtbar. Durch Familienfreigabe werden die importierten Termine dieses Kalenders für deine Familie sichtbar. Die Zwei-Wege-Synchronisierung überträgt in Nidox bestätigte Terminänderungen zurück in den ausgewählten Anbieterkalender; ein Nur-Lesen-Import verändert dessen Termine nicht. Serientermine erscheinen innerhalb des unterstützten rollierenden Zeitfensters und werden jeweils für ein einzelnes Vorkommen bearbeitet. Einladungen, deren Änderung andere Personen benachrichtigen könnte, müssen in der ursprünglichen Kalender-App bearbeitet werden.

Aktualisierungstokens und app-spezifische iCloud-Passwörter werden mit einem serverseitigen Schlüssel verschlüsselt, getrennt von lesbaren Termindaten gespeichert und ausschließlich vom Backend für deine ausgewählten Kalender verwendet. Dies ist keine Ende-zu-Ende-Verschlüsselung. Zugangsdaten und private importierte Termine werden nicht automatisch an den KI-Assistenten gesendet. Bewusst mit der Familie geteilte Termine können beim Aufruf des Assistenten zum Familienkalenderkontext gehören. Trennen beendet die Synchronisierung, entfernt aktive importierte Nidox-Kopien und löscht gespeicherte Zugangsdaten; Originaltermine beim Anbieter bleiben erhalten. Bereits gesehene oder zwischengespeicherte Kopien bei Familienmitgliedern können nicht zurückgerufen werden. Widerrufe auch die App-Autorisierung beziehungsweise das app-spezifische Passwort beim Anbieter, um dessen Freigabe zurückzunehmen. Google, Microsoft und Apple verarbeiten Kalenderanfragen nach eigenen Datenschutzbedingungen, gegebenenfalls außerhalb der Schweiz/des EWR. Kontolöschung trennt ebenfalls deine Kalender; gelöschte Kopien und verschlüsselte Zugangsdaten unterliegen der Firebase-Wiederherstellungsaufbewahrung.

Android-Systemassistent-Zugriff ist zunächst aus und pro Konto freiwillig. Auf unterstützten Geräten können berechtigte Systemaufrufe nach Prüfung von Anmeldung, App-Sperre und aktuellen Serverrechten die heutige Agenda oder offene Aufgaben einer Person der gewählten Familie lesen. Zurückgegebene Inhalte unterliegen auch den Bedingungen des Assistentenanbieters. Einkaufs-/Erledigungsaktionen öffnen eine Prüfung in Nidox und benötigen deine Bestätigung; sie schreiben nicht automatisch. Routenpunkte und private KI-Gespräche stehen darüber nicht zur Verfügung.

iOS-Karten und Routen verwenden Apple. Web- und Android-Karten laden OpenStreetMap-Kacheln; der Anbieter sieht IP-Adresse und angefragten Kartenausschnitt. Öffentliche Ortsbilder stammen von Wikimedia. Web- und Android-Bildanfragen nutzen einen bekannten öffentlichen Ortsschlüssel statt privater Adressen. Die ausdrückliche Android-Aktion Adresse suchen sendet deine eingegebene Adresse an den Geocoding-Dienst des Systems; Nidox fügt dieser Anfrage deinen aktuellen GPS-Standort nicht hinzu. Beim Laden eines Bildes erhält Wikimedia IP-/technische Anfragedaten; Quelle, Urheber und Lizenz erscheinen am Bild. Für unbekannte/private Orte gibt es einen dekorativen Hintergrund. Externe Karten-, Kalender- oder Teilen-Apps erhalten die von dir ausgewählten Inhalte unter ihren eigenen Bedingungen.

Wenn ein Rezept kein gespeichertes oder generiertes Foto hat, kann die Webversion ein Beispielfoto aus Wikimedia Commons anzeigen. Nidox wählt es lokal anhand einer begrenzten Liste öffentlicher Gerichtsschlüssel aus; Rezepttexte deiner Familie, Zutatenlisten und Allergieprofile werden nicht an Wikimedia übermittelt. Beim Anzeigen des Fotos erhält Wikimedia deine IP-Adresse und technische Anfragedaten. Quelle, Urheber und Lizenz erscheinen am Bild. Die Fotos dienen als Beispiele; die genauen Zutaten des abgebildeten Gerichts können vom gespeicherten Rezept abweichen.

Optionale externe Assistenten (MCP)

Wenn der kontrollierte Pilot für dein Konto freigeschaltet ist, kannst du einen kompatiblen externen Assistenten über Nidox’ Model Context Protocol (MCP) verbinden. Du meldest dich mit deinem bestehenden Konto an, wählst eine Familie und erlaubst ausdrückliche Rechte. Die Verbindung erweitert deine Familienrolle nicht. Rechte zum Lesen und zum Vorbereiten von Änderungen sind getrennt. Vorgeschlagene Änderungen werden erst nach deiner angemeldeten Prüfung und Bestätigung in Nidox gespeichert.

Erlaubte Tools können minimalen Familienkontext, familiengeteilte Termine, Aufgaben, Einkaufslisten, Essenspläne und Rezepte zurückgeben. Private importierte Kalender, private Chats, Kontakte, Dokumente, Follow-Me-Standorte, Anbieterzugangsdaten, Einladungen, Abrechnung und Kontolöschung sind nicht Teil dieser ersten Tools. An einen externen Assistenten übermittelte Daten verlassen Nidox und unterliegen dessen Bedingungen, Datenschutz-, Aufbewahrungs- und Auslandverarbeitungsregeln. Bereits erhaltene Kopien liegen nicht unter Nidox’ Kontrolle. Gewöhnliche MCP-Lesevorgänge und vorbereitete Aktionen benötigen keinen neuen Aufruf von Nidox’ KI-Modell.

Wir speichern die Zuordnung zu Konto, Familie und Client, erlaubte Rechte, Erstellungs-, Nutzungs- und Widerrufsinformationen, begrenzte Zugangsdaten und vorbereitete Aktionen, um Verbindungen zu autorisieren, abzusichern und bestätigte Änderungen auszuführen. Anfragegrenzen und minimale Betriebsprotokolle schützen vor Missbrauch; Tokens und vollständige private Inhalte gehören nicht in Betriebslogs. Unter Einstellungen → Verbundene Apps kannst du eine Verbindung prüfen und widerrufen. Das stoppt zukünftigen Zugriff, löscht aber keine vom Anbieter bereits erhaltenen Kopien. Kontolöschung und verlorene Familienmitgliedschaft beenden ebenfalls den erlaubten Zugriff. Das Schliessen eines Browser-Tabs ist kein Widerruf. Pilotverfügbarkeit und unterstützte Clients stehen in der Entwickleranleitung.

Anbieter und Verarbeitung im Ausland

• Google/Firebase: Familiendatenbank, Cloud Storage und Funktionen sind in Zürich eingerichtet. Die angemeldete Web-App läuft über Firebase App Hosting in den Niederlanden. Website/CDN können globale Infrastruktur nutzen. Firebase Authentication verarbeitet Daten in den USA. FCM, App Check, Hosting und Betriebsdienste können technische Daten international verarbeiten. Firebase-Datenschutzinformationen.
• Apple und Google: Anmeldung, App-Integrität, Push und Store-Käufe nutzen ihre Plattformdienste und können internationale Verarbeitung einschliessen.
• OpenAI: optionale KI-Eingaben und nötiger Kontext werden über die API verarbeitet, möglicherweise in den USA. API-Daten dienen standardmässig nicht zum Modelltraining. Standardprotokolle zur Missbrauchsprüfung können bis zu 30 Tage gespeichert werden; gesetzliche/Sicherheitsausnahmen sind möglich. Nidox behauptet weder Zero Data Retention noch ausschliessliche EU-KI-Verarbeitung. OpenAI-Datenkontrollen.
• OpenStreetMap/Wikimedia: öffentliche Karten-/Bildanfragen wie oben beschrieben; Infrastruktur kann ausserhalb der Schweiz/des EWR liegen. Externe Links können weitere Anbieter einbeziehen.

Internationale Verarbeitung erfordert, soweit vorgeschrieben, geeignete Garantien wie anerkannte Angemessenheitsregelungen oder vertragliche Schutzmassnahmen. Informationen zu den jeweils geltenden Vereinbarungen erhältst du auf Anfrage. Eine Datenbank in Zürich bedeutet nicht, dass jede Verarbeitung in der Schweiz erfolgt.

Kinder und Haushaltsdaten

Erwachsene sollen nur notwendige Kinderprofile anlegen und vor einem eigenen Kinderkonto oder Standortfreigaben die gesetzlich erforderliche elterliche Zustimmung einholen. Eine Einladung regelt den Zugang; sie prüft weder Alter noch elterliche Einwilligung. Nidox führt derzeit keine formelle Alters-/Sorgeberechtigtenprüfung durch. Melde uns ohne ausreichende Berechtigung angelegte Konten oder Profile. Follow Me darf nicht zur heimlichen Überwachung genutzt werden.

Aufbewahrung, Löschung und Rechte

Familieninhalte bleiben bis zu ihrer Entfernung oder Löschung der Familie; es gibt derzeit keine automatische Löschung wegen Inaktivität. Die Kontolöschung entfernt das Anmeldekonto, private KI-Gespräche, Mitgliedschaften und Geräteregistrierungen. Gibt es keine weitere angemeldete Person, werden auch Familie und Dateien gelöscht. Andernfalls bleiben gemeinsame Inhalte für die weiter genutzte Familie bestehen. Ein Store-Abo wird durch Kontolöschung nicht gekündigt.

Firestore bewahrt tägliche Sicherungen 14 Tage, wöchentliche Sicherungen 98 Tage und die Wiederherstellungshistorie bis zu sieben Tage auf. Storage bewahrt frühere Dateiversionen bis zu 30 Tage oder bis 10 neuere Versionen vorliegen auf, je nachdem, was zuerst eintritt. Gelöschte Versionen bleiben danach über die sieben Tage dauernde Wiederherstellung bei Löschung verfügbar. Diese Wiederherstellungskopien können bereits aus der aktiven App entfernte Daten enthalten. Zugriffsprotokolle für Firestore und Storage werden 30 Tage in Zürich gespeichert; von Google verwaltete Verwaltungs-/Sicherheitsprotokolle haben eigene Fristen. Aboreferenzen und Missbrauchsschutz-Aufzeichnungen haben separate betriebliche oder gesetzliche Fristen und sind kein dauerhaftes Familienarchiv. Der Aufbewahrungsplan für diese Geschäftsbelege bleibt vor Veröffentlichung dieses Entwurfs zu prüfen.

Gewöhnliche Familiendaten verwenden auf Android einen dauerhaften privaten Firestorecache. Bereits geladene Daten und lokal angenommene Offlineänderungen können einen Neustart überleben. Lokale Annahme ist noch keine Serverbestätigung; Änderungen können bei Berechtigungs-/Regelprüfung zurückgewiesen werden. Abmeldung oder Wechsel des Firebase-Kontos leert diesen Cache und unbestätigte Änderungen logisch; dies garantiert kein forensisch sicheres Überschreiben. Android-Appdaten sind von Cloudbackup und Geräteübertragung ausgeschlossen. Die App-Sperre verbirgt Oberfläche, Mitteilungen und Widgets, ergänzt aber keine Ende-zu-Ende-Verschlüsselung. Widgets behalten nur kontogebundene Namen und ausgewählte Termin-/Aufgaben-/Essenszusammenfassungen, keine Routen, KI-Gespräche oder Tokens; bei Sperre oder ungültiger Konto-/Familienbindung bleiben Details verborgen. Browser-/Gerätecaches, lokale Fotos und Kalenderkopien sind getrennt. Melde dich auf geteilten Geräten ab, lösche lokale App-Daten und verwalte exportierte Kopien beim Kalenderanbieter.

Nutze Einstellungen → Konto → Konto löschen oder die Seite zur Kontolöschung. Du kannst per E-Mail Auskunft, Berichtigung, Löschung und gegebenenfalls Einschränkung, Übertragbarkeit oder Widerspruch verlangen. Wir prüfen die Kontozuordnung ohne Passwort oder Anmeldetokens. Beschwerden sind beim EDÖB oder der zuständigen europäischen Aufsichtsbehörde möglich. Wesentliche Änderungen an Anbietern, optionalen Berechtigungen oder Erklärungen werden über App oder Website kommuniziert.

Website und Kontakt

Die öffentliche Website enthält kein Nidox-Analyse- oder Werbe-SDK. Notwendige Hostinganfragen können protokolliert werden. Darstellung/Sprache und die Anmeldung, Integritäts- und Offlinezustände der Web-App können Browserspeicher nutzen. Support-E-Mails gehen über deinen E-Mail-Anbieter. Schicke keine Passwörter, Tokens oder unnötigen Familiendokumente mit.