Datenschutzerklärung

1. Was TotShot macht

Sie wählen ein Land und ein Dokument. Die App lädt die Anforderungen, die die ausstellende Behörde dafür veröffentlicht, führt Sie durch die Aufnahme und schickt das Bild an unsere Server; dort wird es an genau diesen Anforderungen gemessen, und zurück kommt eine druckfertige Datei.

Zwei Dinge geschehen an zwei verschiedenen Orten, und in diesem Unterschied steckt alles, was den Datenschutz hier ausmacht: Das Gesicht im Bild zu finden und Sie durch die Aufnahme zu führen – beides geschieht auf Ihrem Gerät, offline, und nichts verlässt es dabei. Das Ergebnis zu vermessen, den Hintergrund zu ersetzen und die fertige Datei zu erzeugen – das geschieht auf unseren Servern.

2. Was wir erheben

• Ihr Konto. Eine E-Mail-Adresse – oder die Kennung und die E-Mail-Adresse, die Apple oder Google herausgeben, wenn Sie sich damit anmelden; wenn Apple Ihnen eine private Relay-Adresse gibt, ist das alles, was wir je zu sehen bekommen. Dazu die Sprache, in der Sie lesen.
• Ihr Kind. Ein Name, auf Wunsch ein Spitzname und ein Geburtsdatum. Das Geburtsdatum hat eine einzige Aufgabe: Manche Behörden erlauben bei jüngeren Kindern geschlossene Augen oder ein weniger strenges Maß bei der Kopfhöhe, und die App muss wissen, welche Regel für Sie gilt.
• Fotos. Die Aufnahme, die Sie machen, die Vorschauen daraus und die fertige Datei.
• Messwerte aus dem Foto. Kopfhöhe, Augenlinie, Abstand über dem Scheitel, Schärfe, Belichtung, der angewandte Zuschnitt, der Befund und die genaue Version der Anforderung, an der Ihr Foto gemessen wurde.
• Käufe. Welches Credit-Paket Sie gekauft haben, und der Beleg, den Apple oder Google uns geben, damit wir ihn prüfen können. Kartennummern erreichen uns nie – gekauft wird im Kauffenster des Stores selbst.
• Benachrichtigungen. Ein Push-Token, wenn Sie Benachrichtigungen erlauben.
• Wie Sie die App nutzen. Benannte Ereignisse für die Schritte eines Shootings – eine Aufnahme gemacht, ein Befund angezeigt, ein Credit-Paket gekauft –, jeweils mit Zahlen und einer Shooting-Kennung. Nie das Foto und nie die Messwerte daraus.
• Eine Werbe-ID, für unsere eigene Werbung. Unter Android liest Google Analytics die Werbe-ID des Geräts. Unter iOS liest Google Analytics die Werbe-ID (IDFA) nur dann, wenn Sie es erlauben, sobald das System fragt, ob TotShot Ihre Aktivitäten verfolgen darf. Diese Kennung hat eine einzige Aufgabe: Wenn wir für TotShot in Google Ads oder einem ähnlichen Netzwerk werben, kann dieses Netzwerk eine Installation der Anzeige zuordnen, die zu ihr geführt hat – so wissen wir, was unsere Werbung gebracht hat. Die Werbe-ID lässt sich in den Geräteeinstellungen zurücksetzen oder löschen, unter iOS lässt sich die Abfrage ablehnen; die App funktioniert in beiden Fällen gleich.
• Ungefähr, wo Sie sind. Google leitet aus der IP-Adresse, mit der Ihre Nutzungsereignisse ankommen, einen Standort auf Stadtebene ab. Das Gerät selbst meldet uns seinen Standort nie, und die App fragt keine Standortberechtigung ab.
• Absturzberichte. Wenn die App abstürzt: der Fehler, der Stack-Trace, das Gerätemodell, die Systemversion und die Kennung des Kontos, bei dem es passiert ist – damit ein Absturz, der einen einzelnen Menschen trifft, nachvollzogen und nicht erraten wird.
• Server-Logs. Unsere Server halten IP-Adresse und Zeitpunkt einer Anfrage fest, wie jeder Webdienst, für die Sicherheit und zum Schutz vor Missbrauch. Eine IP-Adresse kann ein personenbezogenes Datum sein, deshalb wird sie hier genannt und nicht stillschweigend übergangen.

Mehr wird nicht erhoben. TotShot fragt weder nach einer Adresse noch nach einer Telefonnummer und zeigt keine Werbung. Die Nutzungsereignisse und Absturzberichte oben hängen an einer zufälligen Kennung pro Installation und an Ihrem Konto. Die Werbe-ID ist das Einzige hier, was ein Werbenetzwerk je zu sehen bekommt, und weiter als bis zur Messung unserer eigenen Kampagnen geht sie nicht.

3. Die Messwerte sind Geometrie, kein biometrisches Profil

Die Zahlen, die wir einem Foto entnehmen, sind dazu da, ein Bild zuzuschneiden und es an einer veröffentlichten Regel zu messen – wie hoch der Kopf im Bild steht, wo die Augen sitzen, wie viel Raum über dem Scheitel bleibt.

Wir verwenden sie nie, um jemanden zu identifizieren. Die Messwerte sind keine biometrische Vorlage, sie werden nie mit einem anderen Foto oder einer anderen Person abgeglichen, und eine Gesichtserkennung zur Identifizierung findet mit ihnen in keiner Form statt. Wird das Foto gelöscht, aus dem sie stammen, werden sie mit ihm gelöscht.

4. Die Daten eines Kindes – und warum sie hier sind

TotShot wird von einer erwachsenen Person für ein Kind genutzt. Wer das Konto führt, muss mindestens 18 Jahre alt sein; das Kind ist die Person auf dem Foto, nicht die Person, die die App bedient.

Der Name, das Geburtsdatum – wenn Sie eines angegeben haben – und das Foto dienen einem einzigen Zweck: dieses Foto zu erstellen und zu prüfen. All das wird nie für Werbung genutzt, nie verkauft, nie für fremde Zwecke weitergegeben und nie zum Training irgendeines Modells verwendet.

5. Wie lange wir es speichern

TotShot nimmt auf und prüft – ein Fotoalbum ist es nicht. Alles läuft von selbst ab:

• Eine Aufnahme, die Sie hochgeladen, aber nie zu einem Shooting gemacht haben – 24 Stunden.
• Die Originale und Vorschauen eines Shootings sowie die Renderings von Fotos, die Sie nicht gekauft haben – 72 Stunden. Deshalb bleibt es auch drei Tage lang kostenlos, eine Aufnahme neu zuzuschneiden.
• Ein gekauftes Foto – Ihre Speicherdauer: 7, 30, 90 oder 365 Tage oder unbegrenzt. Voreingestellt sind 365 Tage. Sie ändern das jederzeit in der App, und die Änderung gilt auch für die Fotos, die Sie schon haben.

Ein Jahr ist voreingestellt, weil das Dokumentenfoto eines Kindes lange vorher unbrauchbar wird – das Kind hat sich verändert. Länger zu speichern nützt niemandem.

Geht ein Foto, gehen die Messwerte daraus mit. Ein einzelnes gelöschtes Foto überlebt nur der Beleg – welches Dokument, wann, ob es bestanden hat, welcher Credit verbraucht wurde –, weil Sie zu einer Abbuchung noch eine Frage haben könnten. In der App wird er nirgends angezeigt.

Die Links zum Herunterladen werden bei jedem Öffnen eines Fotos neu erzeugt und laufen nach einer Stunde ab. Nichts in unserem Speicher ist öffentlich gelistet oder öffentlich erreichbar.

6. Ihr Konto löschen

Ihr Konto löschen Sie selbst in der App, und zwar ohne Bedingungen. Ihre Fotos, die Aufnahmen dahinter, sämtliche Messwerte, die Belege, die Angaben zu Ihrem Kind, Ihr Credit-Guthaben, Ihre Push-Token und Ihre Shootings werden in jedem Dienst, der sie hatte, endgültig gelöscht. Es bleibt keine Markierung zurück, dass Sie hier waren, und ein Teil, der dabei fehlschlägt, wird wiederholt, bis er bestätigt ist, statt still liegen zu bleiben.

Nicht verbrauchte Credits werden mit dem Konto vernichtet und sind nicht erstattungsfähig – verbrauchen Sie sie also vorher oder fragen Sie uns. Einzelne Fotos löschen Sie ebenfalls jederzeit selbst, oder Sie schreiben an support@totshot.app, dann übernehmen wir das.

7. Wer sonst noch damit in Berührung kommt

Wir verkaufen personenbezogene Daten nicht und handeln nicht mit ihnen. Die Daten gelangen an genau diese Unternehmen, jedes für eine einzige Aufgabe:

• Apple und Google – Anmeldung und Kauf von Credits. Die beiden bestätigen uns, dass ein Kauf echt ist; über Ihr Kind sagen wir ihnen nichts. Apple kann außerdem fragen, was aus einem Kauf geworden ist, wenn Sie eine Erstattung verlangen – davon handelt genau der nächste Abschnitt.
• Google (Firebase Cloud Messaging) – Zustellung einer Push-Benachrichtigung an Ihr Gerät, wenn Sie Benachrichtigungen eingeschaltet haben.
• Google (Firebase Analytics und Crashlytics) – Zählen der Nutzungsereignisse oben und Entgegennahme der Absturzberichte. So erfahren wir, dass ein Schritt im Ablauf bei Menschen hakt, die uns nie schreiben. Google verarbeitet das in unserem Auftrag und auf Servern in den USA.
• Google (Google Ads) – wenn wir Kampagnen für TotShot schalten, gleicht Google die Werbe-ID oben mit den ausgelieferten Anzeigenklicks ab und meldet uns zurück, aus welcher Kampagne eine Installation stammt. Das ist die Messung unserer eigenen Werbung; die Daten Ihres Kindes spielen darin keine Rolle.
• Resend – Versand von E-Mails zu Konto und Support.
• Unser Hosting-Anbieter – Betrieb der Server, mit denen die App spricht.

Den Hintergrund entfernen wir auf unseren eigenen Servern, in einem privaten Netz. Das Foto Ihres Kindes geht nie an einen fremden KI-Dienst, und an Google geht es auch nicht: Die SDKs für Analyse und Absturzberichte oben sehen Ereignisnamen, Zahlen und Kennungen – Bilddaten in keiner Form. Die App enthält kein Werbe-SDK und zeigt keine Anzeigen; die Werbe-ID oben wird vom Analyse-SDK gelesen, für den einen genannten Zweck.

8. Wenn Sie bei Apple eine Erstattung beantragen

Wenn Sie über den App Store eine Erstattung beantragen, kann Apple uns fragen, was aus dem Kauf geworden ist, und lässt uns dafür ein kurzes Zeitfenster. Wir antworten. Es ist der einzige Moment, in dem wir überhaupt etwas sagen können, und über eine Anfrage, die niemand beantwortet, wird ohne uns entschieden. Bei Google Play gibt es diesen Schritt nicht; für einen Kauf dort gilt dieser Abschnitt also nicht.

Wir schicken eine Zusammenfassung, keine Aufzeichnung: wie viel vom Paket verbraucht war, ob die fertigen Fotos geliefert waren, und den Gesamtwert Ihrer Käufe und Ihrer Erstattungen als Spanne statt als Betrag – und nicht einmal die Spanne, wenn auch nur ein Kauf in einer anderen Währung war, denn eine Dollarsumme, die wir nicht nennen können, schätzen wir nicht. Das alles hängt an dem Token, den der Store für diesen Kauf ausgegeben hat, und an nichts sonst.

Wir sagen Apple außerdem, wie die Antwort aus unserer Sicht ausfallen sollte, und Sie haben ein Recht darauf, die Regel zu kennen, nach der wir das tun – hier steht sie vollständig: Haben Sie die Credits nie verbraucht, sagen wir, die Erstattung sollte gewährt werden. Haben Sie alle verbraucht, sagen wir, sie sollte abgelehnt werden. Haben Sie einen Teil verbraucht, sagen wir nichts dazu. Wir bitten Apple nicht, eine Erstattung für etwas abzulehnen, das Sie nie genutzt haben.

Ihre Fotos schicken wir nie, und über diese Kaufkennung hinaus schicken wir keine personenbezogenen Daten. Apple fragt außerdem, wie lange Sie das Konto schon haben und wie viel Zeit Sie in der App verbracht haben. Auf beides antworten wir „nicht angegeben“ – statt etwas zu schätzen, für das wir dann geradestehen müssten.

9. Wo und wie es gespeichert wird

Unsere Server stehen in der Europäischen Union und sind bei einem kommerziellen Hosting-Anbieter gemietet. Wir nennen die Region und nicht den Anbieter: Der Anbieter kann wechseln, die Region ist die Zusage. Fotos und alles, was an ihnen gemessen wurde, bleiben dort.

Zwei Dinge verlassen diese Region. Nutzungsereignisse und Absturzberichte gehen an Google in den USA, und Push-Benachrichtigungen laufen über Google und Apple. Beide Übermittlungen stützen sich auf die Standardvertragsklauseln der Europäischen Kommission – den Mechanismus, den diese Unternehmen für genau diesen Fall veröffentlichen. Sonst überschreitet nichts die Grenze.

Der Datenverkehr ist mit TLS verschlüsselt. Fotos liegen in einem geschlossenen Speicher, dessen Inhalt nirgends öffentlich gelistet ist, und jeder Abruf läuft über einen kurzlebigen signierten Link. Anmelde-Token liegen im Schlüsselspeicher des Geräts selbst – in der Keychain oder im Keystore. Zugriff haben nur die Dienste, die ihn brauchen. Kein System ist vollkommen sicher, und wir tun nicht so, als wäre es anders.

10. Diese Website

totshot.app betreibt keine Analyse, zeigt keine Werbung und lädt keine fremden Skripte, Schriften oder Bilder – jede Datei, die diese Seite braucht, kommt von dieser Domain. Die oben beschriebene Analyse steckt in der App; auf dieser Website gibt es keine.

Ausgeliefert wird die Website von Vercel, unserem Webhoster; in dessen Zugriffsprotokollen stehen IP-Adresse, Zeitpunkt und User-Agent jeder Anfrage, für die Auslieferung und zum Schutz vor Missbrauch. Kein weiteres Unternehmen ist daran beteiligt, Ihnen diese Seite zu zeigen.

Gespeichert wird ein einziges Cookie, NEXT_LOCALE: Es merkt sich, in welcher Sprache Sie lesen. Es enthält keine Kennung, niemand sonst liest es, und es folgt Ihnen nirgendwohin.

11. Ihre Rechte

Sie können eine Kopie Ihrer Daten verlangen, eine Berichtigung, einen Export oder die Löschung. Löschen können Sie selbst in der App; für alles andere schreiben Sie an support@totshot.app. Jede Anfrage beantwortet ein Mensch.

In der EU und im Vereinigten Königreich sind das Ihre Rechte aus der DSGVO, und Sie können sich bei der für Sie zuständigen Datenschutz-Aufsichtsbehörde beschweren. In Kalifornien verkaufen und teilen wir keine personenbezogenen Daten in dem Sinne, den der CCPA diesen Wörtern gibt, und die Ausübung eines Rechts kostet Sie nichts.

12. Änderungen

Das Datum oben auf dieser Seite gehört zu der Fassung, die Sie gerade lesen. Ändern wir etwas Wesentliches, sagen wir es Ihnen per E-Mail oder in der App, bevor es gilt.

13. Kontakt

Zu allem auf dieser Seite – Auskunft, Berichtigung, Export, Löschung oder eine Frage, auf die Sie hier keine Antwort finden: support@totshot.app. Das ist der schnellste Weg zu uns, und was dort ankommt, liest ein Mensch. Post erreicht uns unter der Anschrift unten.

14. Anwendbares Recht

Diese Erklärung unterliegt dem Recht des US-Bundesstaates Delaware (USA).

Veröffentlicht ist sie in jeder Sprache, die die Sprachauswahl anbietet. Maßgeblich ist die englische Fassung; die Übersetzung ist zum Lesen da, nicht zum Argumentieren.