Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO ist:
52N34S Group – Steffen Giebler Schwedter Str. 25, 10119 Berlin, Deutschland E-Mail: support@52n34s.com
Diese Datenschutzerklärung gilt für die App „Kolibi" für iOS und für die Website kolibi.app.
2. Überblick
Kolibi verbindet ein Ernährungstagebuch mit einem Trainingsplan für Übungen mit dem eigenen Körpergewicht. Der Dienst verarbeitet dabei zwangsläufig Daten, die Rückschlüsse auf deine Gesundheit zulassen — Körpermaße, Gewichtsverlauf, Kalorienaufnahme, Trainingsdaten und Fotos deiner Mahlzeiten. Diese Daten sind besonders geschützt (Art. 9 DSGVO), und wir behandeln sie entsprechend.
Die wichtigsten Punkte vorab:
Du kannst die App zunächst ohne Account nutzen. Auch dabei entstehen Daten; Näheres in Ziffer 4.
Deine Fotos werden zur Analyse an Google Cloud übermittelt und in Rechenzentren innerhalb der Europäischen Union verarbeitet. Näheres in Ziffer 7.
Mahlzeitenfotos speichern wir nicht. Übungsfotos und dein Profilbild, die du selbst hochlädst, speichern wir auf Servern in Frankfurt. Näheres in Ziffer 7a.
Wir verkaufen keine Daten, betreiben keine Werbung und stellen deine Daten niemandem zum Training von KI-Modellen zur Verfügung.
Fehleranalyse und Nutzungsstatistik laufen über Anbieter mit Serverstandort in der EU.
3. Rechtsgrundlagen im Überblick
Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags: Account, Kernfunktionen der App, Abonnementverwaltung
Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen: Sicherheit, Missbrauchsprävention, Stabilität und Verbesserung des Dienstes
Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Push-Benachrichtigungen, Apple Health
Art. 9 Abs. 2 lit. a DSGVO — ausdrückliche Einwilligung für gesundheitsbezogene Daten
Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtungen, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten
4. Nutzung ohne Account
Beim ersten Start der App wird automatisch eine anonyme Sitzung erstellt. Dafür ist keine Angabe von dir erforderlich.
Was dabei verarbeitet wird:
eine zufällig erzeugte Nutzerkennung ohne Bezug zu deiner Person
eine Gerätekennung (auf iOS die vom Betriebssystem vergebene „Identifier for Vendor")
die Anzahl der von dir durchgeführten Bildanalysen
alle Daten, die du in der App eingibst (siehe Ziffern 5 bis 8)
Zweck: Bereitstellung des Dienstes ohne Registrierung sowie Durchsetzung der Begrenzung auf vier kostenlose Foto-Scans in der anonymen Sitzung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung, Art. 6 Abs. 1 lit. f DSGVO für die Missbrauchsprävention. Der Zugriff auf die Gerätekennung erfolgt, weil er zur Bereitstellung des von dir ausdrücklich gewünschten Dienstes erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).
Wichtig zu wissen: Die Gerätekennung wird im geschützten Systemspeicher deines Geräts (iOS-Schlüsselbund) abgelegt und bleibt dort auch nach einer Deinstallation der App erhalten. Sie wird zurückgesetzt, wenn du alle Apps desselben Anbieters von deinem Gerät entfernst.
Grenzen deiner Rechte ohne Account: Ohne Account können wir dich nicht identifizieren. Auskunfts-, Berichtigungs- und Löschverlangen können wir daher nur bearbeiten, wenn du uns die Zuordnung ermöglichst. Bei Geräteverlust oder Neuinstallation sind deine Daten nicht wiederherstellbar.
Speicherdauer: Anonyme Konten werden nach 30 Tagen ohne Aktivität automatisch gelöscht.
Beim Löschen deines Accounts wird die Gerätekennung aus unserer Datenbank entfernt. Sie verbleibt jedoch im geschützten Systemspeicher deines Geräts, bis du alle Apps desselben Anbieters entfernst.
Legst du später einen Account an, bleibt deine bisherige Kennung bestehen und deine Daten werden übernommen. Meldest du dich stattdessen mit einem bereits bestehenden Account an, gehen die ohne Account erfassten Daten verloren; wir weisen dich vorher darauf hin.
5. Account
Registrierung per E-Mail: Wir verarbeiten deine E-Mail-Adresse und ein von dir gewähltes, bei uns nur als kryptografischer Hashwert gespeichertes Passwort.
„Mit Apple anmelden": Wir erhalten eine von Apple vergebene Kennung und eine E-Mail-Adresse. Wenn du die Funktion „E-Mail-Adresse verbergen" nutzt, erhalten wir nur eine Weiterleitungsadresse von Apple und nicht deine echte Adresse. Näheres bei Apple: apple.com/legal/privacy
„Mit Google fortfahren": Wir erhalten deine E-Mail-Adresse sowie, sofern von dir freigegeben, Namen und Profilbild. Näheres bei Google: policies.google.com/privacy
Zweck: Bereitstellung des Accounts, Zuordnung deiner Daten, Wiederherstellung des Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Bis zur Löschung deines Accounts.
6. Profil-, Körper-, Gesundheits- und Trainingsdaten
Zur Berechnung deiner Ziele und zur Führung von Ernährungstagebuch und Training verarbeiten wir:
Gewicht und Gewichtsverlauf, optional ein Zielgewicht
dein Kalorienziel, deine Makroziele und deren Verlauf, dein Bewegungsziel
alle von dir erfassten Mahlzeiten mit Zutaten, Mengen und Nährwerten
deine Korrekturen an geschätzten Portionsgrößen
von dir erfasste Supplemente, deren Dosierung und Einnahme
deine Trainingspläne und Einheiten mit Übungen, Sätzen, Wiederholungen, Haltezeiten, Dauer und Intensität sowie den daraus geschätzten Energieverbrauch
Bestwerte sowie die Vorschläge für die nächste Übungsstufe und ob du sie angenommen oder abgelehnt hast
Zweck: Kernfunktion des Dienstes. Deine Trainingseinheiten fließen in dein Tagesziel für Kalorien und Makros ein. Die Vorschläge für die nächste Übungsstufe entstehen nach festen Regeln aus deinen erfassten Sätzen, nicht durch ein KI-Modell. Deine Korrekturen an Portionsgrößen nutzen wir zusätzlich, um künftige Schätzungen anzupassen (siehe Ziffer 19).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO. Diese Daten sind gesundheitsbezogen und damit besonders geschützt. Wir verarbeiten sie auf Grundlage deiner ausdrücklichen Einwilligung, die du beim ersten Start der App erteilst. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, indem du deinen Account löschst; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Speicherdauer: Bis zur Löschung deines Accounts.
7. Foto-Analyse durch künstliche Intelligenz
Dies ist die datenschutzrechtlich wichtigste Verarbeitung im Dienst. Bitte lies diesen Abschnitt aufmerksam.
Ablauf: Du fotografierst eine Mahlzeit. Das Bild wird an eine von uns betriebene Serverfunktion übertragen und von dort an einen KI-Dienstleister weitergeleitet. Ein KI-Modell erkennt die Bestandteile und schätzt Mengen. Wir erhalten das Ergebnis in strukturierter Form zurück und gleichen die erkannten Lebensmittel gegen unsere Nährwertdatenbank ab.
Empfänger: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland (Dienst „Vertex AI" mit dem Modell Gemini). Ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO liegt vor.
Ausweich-Dienstleister: Bei technischen Störungen oder zur Qualitätssicherung können wir die Analyse vorübergehend über Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA, durchführen. In diesem Fall findet die Verarbeitung in der Regel in den USA statt; die Übermittlung ist durch Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO abgesichert. Es ist gleichwohl nicht auszuschließen, dass Behörden in Drittstaaten zu Kontroll- und Überwachungszwecken auf Daten zugreifen und dass dagegen keine wirksamen Rechtsbehelfe zur Verfügung stehen. Anthropic speichert Eingaben und Ausgaben bis zu 30 Tage zu Sicherheits- und Missbrauchsprüfzwecken und verwendet sie nicht zum Training seiner Modelle.
Was übermittelt wird: An den Analysedienst gehen ausschließlich das Bild sowie, sofern von dir hinterlegt, deine Ernährungsform und ein regionaler Küchenkontext, damit die Erkennung besser trifft. Deine Nutzerkennung, dein Name, dein Alter, dein Geschlecht, dein Gewicht und dein Kalorienziel werden nicht übermittelt.
Verarbeitungsort: Wir nutzen bei Google ausdrücklich die Verarbeitungsregion Europäische Union. Das Bild wird in Rechenzentren innerhalb der EU analysiert. Soweit Google im Einzelfall aus Drittländern auf Daten zugreift, etwa im Rahmen von Wartung oder Support, ist dies durch die Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Google Cloud abgesichert.
Speicherdauer bei Google: Die Zwischenspeicherung von Eingaben haben wir für unser Projekt deaktiviert. Google kann Eingaben jedoch protokollieren, um Missbrauch und Verstöße gegen seine Nutzungsrichtlinien zu erkennen.
Kein Modelltraining: Google verwendet die über Vertex AI übermittelten Daten nicht zum Training seiner Modelle.
Speicherung bei uns: Wir speichern das Foto nicht auf unseren Servern. Es wird ausschließlich zur Weiterleitung an den Analysedienst verarbeitet. Auf deinem Gerät wird die für die Analyse erzeugte Kopie nach Abschluss der Verarbeitung entfernt. Dauerhaft gespeichert werden bei uns nur die abgeleiteten Daten: erkannte Lebensmittel, geschätzte Mengen, Nährwerte und deine Korrekturen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO.
Dein Wahlrecht: Du kannst Mahlzeiten auch ohne Foto erfassen — über die Barcode-Erfassung oder die manuelle Eingabe. In diesen Fällen findet keine Übermittlung an einen KI-Dienstleister statt.
7a. Von dir hochgeladene Bilder
Du kannst ein Profilbild sowie Fotos zu eigenen Übungen hochladen.
Speicherort: Supabase Storage in der Region Frankfurt (eu-central-1), in einem privaten Speicherbereich (Buckets „avatars" und „exercise-images"). Nur du kannst auf deine Bilder zugreifen; die App lädt sie über zeitlich begrenzte, signierte Links.
Verarbeitung vor dem Hochladen: Die App verkleinert und komprimiert das Bild auf deinem Gerät.
Diese Bilder werden nicht an den KI-Dienstleister übermittelt und nicht analysiert.
Zweck: Anzeige in der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du das Bild entfernst oder ersetzt, spätestens bis zur Löschung deines Accounts.
Bitte lade keine Bilder hoch, auf denen andere Personen erkennbar sind, ohne deren Einwilligung.
8. Produktdaten von Open Food Facts
Wenn du einen Barcode scannst, fragen wir die Nährwerte bei Open Food Facts ab, einer freien Lebensmitteldatenbank der gemeinnützigen Open Food Facts Association (Frankreich).
Dabei wird die Barcode-Nummer übermittelt sowie technisch bedingt die IP-Adresse deines Geräts. Daten aus deinem Konto, deine Mahlzeiten oder Gesundheitsdaten werden nicht übermittelt.
Gefundene Produktdaten speichern wir zwischen, damit spätere Abfragen schneller gehen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Abfrage für die von dir genutzte Barcode-Funktion erforderlich ist.
Die Verknüpfung mit Apple Health ist optional und erfordert deine ausdrückliche Freigabe in der Health-App von Apple.
Gelesen werden: aktiv verbrannte Kalorien (Active Energy), Herzfrequenz, Schritte, Distanz beim Gehen und Laufen, Taillenumfang, Körperfettanteil, Magermasse sowie Trainings (Workouts). Weitere Datenarten fragen wir nicht ab.
Zurückgeschrieben wird: der Taillenumfang, wenn du eine Messung in Kolibi speicherst. Andere Datenarten schreiben wir nicht nach Apple Health.
Zweck: Anpassung deines Tagesziels an deine tatsächliche Aktivität, Anzeige deines Bewegungsziels und Vermeidung doppelt gezählter Trainings.
Verbleib der Daten: Den Tageswert der aktiv verbrannten Kalorien speichern wir in unserer Datenbank, damit dein Verlauf auch rückwirkend vollständig ist. Körperfettwerte, die wir aus Apple Health übernehmen, speichern wir ebenfalls in unserer Datenbank. Alle übrigen gelesenen Werte werden ausschließlich zur Anzeige und Berechnung auf deinem Gerät verwendet und nicht gespeichert. Gespeicherte Werte löschen wir mit deinem Account.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO — deine Einwilligung, erteilt im Freigabedialog von Apple.
Widerruf: Jederzeit in der Health-App unter „Freigabe → Apps". Ein Widerruf aus Kolibi heraus ist technisch nicht möglich; wir verlinken daher auf die entsprechende Stelle.
Wir verwenden Gesundheitsdaten aus Apple Health nicht für Werbung, nicht für Marktforschung und geben sie nicht an Dritte weiter.
10. Abonnement und Zahlungen
Kauf und Abrechnung von Abonnements erfolgen ausschließlich über den Apple App Store. Wir erhalten keine Zahlungsdaten — keine Kartennummern, keine Bankverbindungen, keine Rechnungsadressen.
Apple: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Näheres unter apple.com/legal/privacy
RevenueCat: Zur Verwaltung von Abonnements setzen wir RevenueCat ein (RevenueCat, Inc., 300 Delaware Ave, Suite 210, Wilmington, DE 19801, USA). Übermittelt werden deine Nutzerkennung sowie der Status deines Abonnements. Die Übermittlung in die USA ist durch Standardvertragsklauseln abgesichert. Näheres unter revenuecat.com/privacy
RevenueCat übermittelt außerdem Probeabo-Starts und Käufe an Meta, nach denselben Regeln wie das Meta SDK. Näheres dazu unter Ziffer 10a.
Zweck: Freischaltung kostenpflichtiger Funktionen, Erkennung von Kündigung und Ablauf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Für die Dauer des Vertragsverhältnisses; darüber hinaus, soweit handels- und steuerrechtliche Aufbewahrungspflichten bestehen.
10a. Werbemessung mit Meta (iOS-App)
Wir nutzen das Meta SDK der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland, um zu messen, welche Kolibi-Werbung auf Facebook und Instagram zu Installationen und Abos führt.
Welche Regel für dich gilt, richtet sich nach dem Land deines App-Store-Kontos (Storefront), nicht nach deinem Aufenthaltsort.
App-Store-Konto in der EU, im EWR oder im Vereinigten Königreich: Das Meta SDK startet nur, wenn du im iOS-Dialog Tracking erlaubst (ATT). Ohne deine Erlaubnis startet es nicht.
App-Store-Konto in anderen Ländern: Das Meta SDK startet beim ersten Öffnen der App. Erlaubst du im iOS-Dialog kein Tracking, läuft es mit ausgeschaltetem Advertiser Tracking und ohne die Werbe-ID deines Geräts (IDFA). Es dient dann der zusammengefassten Messung von Werbekampagnen (Aggregated Event Measurement).
Verarbeitet werden: eine von Meta vergebene anonyme ID, die geräte- und anbieterbezogene Kennung von Apple (IDFV), die IP-Adresse, Geräte- und App-Informationen sowie das Öffnen der App. Die Werbe-ID deines Geräts (IDFA) nur, wenn du Tracking erlaubst.
Nach Abschluss der Einrichtung sendet die App einmalig das Ereignis "Registrierung abgeschlossen" an Meta, nach denselben Regeln.
Zusätzlich übermittelt unser Abo-Dienstleister RevenueCat Abo-Ereignisse (Start eines Probeabos, Abschluss, Verlängerung, Preis) zusammen mit diesen Kennungen an Meta, damit Meta Abos der passenden Werbung zuordnen kann. Auch hier gelten dieselben Regeln: in der EU, im EWR und im Vereinigten Königreich nur mit deiner Tracking-Erlaubnis, in anderen Ländern auch ohne, dann ohne Werbe-ID.
Deine Ernährungs-, Trainings- und Gesundheitsdaten geben wir nicht an Meta weiter.
Rechtsgrundlage in der EU, im EWR und im Vereinigten Königreich ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit für die Zukunft widerrufen: in den iOS-Einstellungen bei Kolibi ("Tracking erlauben" ausschalten) oder in der App unter Einstellungen → Sicherheit → Werbemessung. Die zusammengefasste Messung ohne Werbe-ID für App-Store-Konten in anderen Ländern stützen wir auf unser berechtigtes Interesse, die Wirksamkeit unserer Werbung zu messen (Art. 6 Abs. 1 lit. f DSGVO, soweit anwendbar). Du kannst dieser Messung jederzeit widersprechen: in der App unter Einstellungen → Sicherheit → Werbemessung.
Meta kann Daten auch in den USA verarbeiten. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr dazu in der Datenrichtlinie von Meta: facebook.com/privacy/policy
11. Push-Benachrichtigungen
Wenn du Push-Benachrichtigungen zustimmst, verarbeiten wir eine Gerätekennung für den Versand (Push-Token) sowie deine Benachrichtigungseinstellungen.
Empfänger: Apple Push Notification Service (Apple Distribution International Ltd., Irland) sowie der Push-Dienst von Expo (650 Industries, Inc., USA), über den die Zustellung technisch abgewickelt wird.
Inhalt: Benachrichtigungen enthalten keine Gesundheitsdaten und keine Angaben zu einzelnen Mahlzeiten.
Zweck: Erinnerung an die Erfassung von Mahlzeiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, erteilt im Systemdialog von iOS. Widerruf: Jederzeit in den iOS-Einstellungen unter „Mitteilungen" oder in den Einstellungen der App. Speicherdauer: Bis zum Widerruf oder zur Löschung deines Accounts.
11a. Lokale Benachrichtigungen
Für den Pausen-Timer im Training plant die App lokale Benachrichtigungen auf deinem Gerät. Diese werden ausschließlich auf deinem Gerät erzeugt und nicht über unsere Server oder Dritte versendet. Die Erinnerung vor Ende der Testphase ist ebenfalls eine lokale Mitteilung auf deinem Gerät; dafür werden keine Daten übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, deine Einwilligung im Systemdialog von iOS.
12. Fehler- und Absturzanalyse
Zur Erkennung und Behebung von Fehlern setzen wir Sentry ein.
Anbieter: Functional Software, Inc. („Sentry"), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Serverstandort: Europäische Union. Unsere Organisation ist auf die EU-Datenregion konfiguriert; die Daten werden in Frankfurt verarbeitet. Eine Übermittlung in die USA findet für diese Verarbeitung nicht statt.
Verarbeitet werden: Fehlermeldungen und technische Zustandsdaten, Gerätemodell, Betriebssystemversion, App-Version sowie der Programmablauf vor dem Fehler. Bei bestimmten Vorgängen — insbesondere bei der Einrichtung von Push-Benachrichtigungen — werden dabei auch deine Nutzerkennung und die Gerätekennung übermittelt, um Fehler diesen Vorgängen zuordnen zu können.
Nicht verarbeitet werden: Die automatische Übermittlung personenbezogener Standarddaten ist in der Konfiguration deaktiviert (sendDefaultPii: false). Die Aufzeichnung von Bildschirminhalten („Session Replay") ist deaktiviert. Fotos, Dateipfade zu Fotos, Bezeichnungen einzelner Lebensmittel, Mahlzeitendaten, Gewicht und Kalorienziele werden nicht an Sentry übermittelt. Serverseitige Datenbereinigung und die Unterdrückung der Speicherung von IP-Adressen sind aktiviert.
Zweck: Stabilität und Fehlerbehebung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem funktionsfähigen Dienst. Speicherdauer: 30 Tage. Die Frist richtet sich nach dem Tarif unseres Anbieters; bei einer Änderung passen wir diese Angabe an. Auftragsverarbeitung: Ein Vertrag nach Art. 28 DSGVO liegt vor.
13. Eigene Nutzungsanalyse in der App
Um die App zu verbessern, erfassen wir, welche Schritte in der App genutzt werden, zum Beispiel welche Schritte der Einrichtung abgeschlossen werden, wann der Abo-Bildschirm angezeigt wird und ob ein Kauf oder eine Testphase gestartet wird.
Dabei speichern wir: eine zufällige Installationskennung, die auf deinem Gerät abgelegt wird, deine pseudonyme Nutzerkennung, den Namen des Ereignisses, gewählte Kategorien (zum Beispiel Trainingsziel oder Anzahl der Trainingstage), App-Version und Zeitpunkt. Wir erfassen keine Gesundheitswerte wie Gewicht, Größe oder Geburtsdatum und keine freien Texteingaben.
Die Daten werden in unserer eigenen Datenbank bei Supabase in der EU (Frankfurt) gespeichert und nicht an Dritte weitergegeben. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung der App (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nach 12 Monaten gelöscht.
Du kannst der Analyse jederzeit in der App unter Einstellungen, Deine Datenrechte, "Kolibi verbessern" widersprechen. Dann werden keine weiteren Ereignisse erfasst.
13a. Nutzungsstatistik mit PostHog
Zusätzlich setzen wir PostHog ein, um registrierte Konten zuzuordnen und automatische App-Ereignisse des SDK zu erfassen, zum Beispiel das Öffnen der App.
Anbieter: PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Serverstandort: Europäische Union (eu.i.posthog.com). Eine Übermittlung in die USA findet für diese Verarbeitung nicht statt.
Verarbeitet werden: bei registrierten Konten deine Nutzerkennung (über posthog.identify) sowie automatische App-Ereignisse des PostHog-SDK (zum Beispiel App geöffnet). Produkt-Ereignisse aus der App, etwa zu Onboarding, Paywall oder Konto, werden nicht an PostHog gesendet. Anonyme Nutzer werden bei PostHog nicht identifiziert.
Es werden keine Inhalte übermittelt: keine Lebensmittel, keine Mengen, keine Nährwerte, keine Körper- oder Gewichtsdaten.
Nicht verarbeitet werden: Die automatische Erfassung sämtlicher Interaktionen („Autocapture") ist deaktiviert. Die Aufzeichnung von Bildschirminhalten („Session Replay") ist deaktiviert. Fotos und Inhalte einzelner Mahlzeiten werden nicht übermittelt.
Zweck: Zuordnung registrierter Konten und Erfassen grundlegender App-Nutzung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 1 Jahr. Widerspruch: Du kannst dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen. Eine formlose Nachricht an support@52n34s.com genügt. Auftragsverarbeitung: Ein Vertrag nach Art. 28 DSGVO liegt vor.
14. Technische Protokolle der Bildanalyse
Zu jeder Bildanalyse speichern wir ein technisches Protokoll: deine Nutzerkennung, Zeitpunkt, Anzahl der Bilder, das eingesetzte Modell, die Antwortzeit, den Verarbeitungsumfang, den Status sowie im Fehlerfall eine gekürzte Fehlermeldung. Zusätzlich wird das strukturierte Erkennungsergebnis gespeichert — also die erkannten Lebensmittel mit geschätzten Mengen und Nährwerten. Das Bild selbst wird in diesem Protokoll nicht gespeichert; Bilddaten werden aus Fehlermeldungen vor der Speicherung entfernt.
Zweck: Erkennung von Fehlfunktionen, Nachvollziehbarkeit von Erkennungsfehlern, Kostenkontrolle und Durchsetzung von Nutzungsbegrenzungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem funktionsfähigen und missbrauchssicheren Dienst — in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO, soweit das Erkennungsergebnis gesundheitsbezogen ist.
Speicherdauer: 90 Tage. Bei Löschung deines Accounts werden die Protokolle unabhängig davon sofort entfernt.
15. Support
Wenn du uns über den Support-Bereich der App eine Nachricht sendest, verarbeiten wir den Inhalt deiner Nachricht, die gewählte Kategorie, deine Nutzerkennung und den Zeitpunkt.
Zweck: Bearbeitung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: Bis zur abschließenden Bearbeitung, längstens bis zur Löschung deines Accounts, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
15a. Export deiner Daten
Du kannst eine Zusammenfassung deiner Ernährungs-, Trainings- und Körperdaten über einen gewählten Zeitraum als Text erzeugen. Die Zusammenfassung wird auf deinem Gerät erstellt und über das Teilen-Menü von iOS an ein Ziel deiner Wahl übergeben, etwa in die Zwischenablage oder an eine andere App. Wir übermitteln dabei nichts. Für die Verarbeitung durch den von dir gewählten Empfänger, zum Beispiel einen KI-Dienst, gelten dessen Datenschutzbestimmungen. Beim Teilen in Instagram-Stories wird das Bild nur auf deine Aktion hin an die Instagram-App übergeben.
16. E-Mail-Versand
Für den Versand vertragsbezogener E-Mails setzen wir Resend ein (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Übermittelt werden deine E-Mail-Adresse und der Inhalt der Nachricht. Die Übermittlung in die USA ist durch Standardvertragsklauseln abgesichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Wir versenden keine Werbe-E-Mails ohne deine gesonderte Einwilligung.
17. Hosting und technische Bereitstellung
Datenbank und Authentifizierung einschließlich der Speicherung von dir hochgeladener Bilder: Supabase, Inc., 970 Toa Payoh North, Singapur. Die Daten deines Accounts werden in der Region Frankfurt (eu-central-1) innerhalb der Europäischen Union gespeichert. Ein Vertrag zur Auftragsverarbeitung liegt vor. Näheres unter supabase.com/privacy
Website und Serverfunktionen: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Beim Aufruf der Website verarbeitet Vercel technische Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Ressource, Browsertyp und Betriebssystem. Die Übermittlung in die USA ist durch Standardvertragsklauseln abgesichert. Näheres unter vercel.com/legal/privacy-policy
App-Auslieferung und Aktualisierungen: Apple Distribution International Ltd. (App Store) sowie 650 Industries, Inc. („Expo", USA) für die Auslieferung von Programmaktualisierungen.
Cookies: Die Website kolibi.app setzt keine Cookies und bindet keine Analyse- oder Werbedienste Dritter ein. Zur eigenen, zusammengefassten Zählung siehe Abschnitt 17a. Die App verwendet keine Cookies; sie speichert technisch notwendige Daten wie deine Sitzungskennung und Spracheinstellung lokal auf deinem Gerät.
17a. Zählung der Website-Nutzung
Auf kolibi.app zählen wir selbst, wie oft Seiten aufgerufen und Funktionen genutzt werden: zum Beispiel ein Tool berechnet, ein Ergebnis geteilt oder als Bild gespeichert, eine Frage im FAQ geöffnet, eine Stufe auf der Startseite gewählt oder der App-Store-Button angeklickt. Dafür setzen wir keine Dienste Dritter ein.
Gespeichert werden nur Tageszählungen: Datum, Seite, Sprache der Seite, Land, Herkunft des Besuchs als grobe Gruppe (zum Beispiel Suchmaschine, soziales Netzwerk, KI-Assistent, direkt) und die Art des Ereignisses. Bei Tools kommen zusammengefasste Kategorien dazu, etwa die Stufe im Level-Test, das Ziel im Proteinrechner oder die Variante einer Bestleistungs-Karte. Eingegebene Werte wie Gewicht, Wiederholungen oder Bestleistungen werden nicht übertragen.
Das Land leitet unser Hosting-Anbieter Vercel beim Aufruf aus der IP-Adresse ab (siehe Abschnitt 17). Die IP-Adresse speichern wir nicht. Es gibt keine Cookies, keine Speicherung in deinem Browser für diese Zählung, keine Kennung, kein Profil und keine Verknüpfung mit einem Kolibi-Konto. Einzelne Besuche lassen sich aus den Zählungen nicht ablesen.
Speicherort: Supabase, Region Frankfurt (EU). Zweck: die Website verbessern und verstehen, welche Inhalte und Tools hilfreich sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, soweit überhaupt personenbezogene Daten verarbeitet werden. Speicherdauer: Tageswerte 25 Monate, danach nur Monatssummen.
Ergebnisse teilen: Level-Test und Proteinrechner schreiben deine Eingaben in die Adresse der Seite, damit du das Ergebnis als Link teilen kannst. Diese Adresse übertragen wir für die Zählung nicht. Den Link teilst du selbst, wir erfahren nicht, mit wem.
App-Store-Links auf Tool-Seiten: Auf den Tool-Seiten kann der Link zum App Store Kampagnenparameter enthalten (pt und ct, zum Beispiel „ct=tool-protein-calculator“). Apple erkennt daran, von welchem Tool ein Aufruf des App Store kommt, und zeigt uns in App Store Connect nur zusammengefasste Zahlen pro Kampagne, etwa Aufrufe und Downloads. Daten zu einzelnen Personen erhalten wir dabei nicht. Für die Verarbeitung im App Store ist Apple verantwortlich.
Gespeicherte Auswahl: Die auf der Startseite gewählte Stufe wird lokal in deinem Browser gespeichert (localStorage), damit sie beim nächsten Besuch erhalten bleibt. Sie wird nur als Teil der Zählung übertragen. Du kannst sie jederzeit über die Einstellungen deines Browsers löschen.
18. Speicherdauer im Überblick
Daten
Dauer
Account-, Profil-, Gesundheits-, Mahlzeiten- und Trainingsdaten
bis zur Löschung des Accounts
Anonyme Konten ohne Aktivität
30 Tage
Mahlzeitenfotos bei uns
werden nicht gespeichert
Übungsfotos und Profilbild
bis du sie entfernst, spätestens bis zur Löschung des Accounts
Gespeicherte Werte aus Apple Health
Tageswert der aktiv verbrannten Kalorien und übernommene Körperfettwerte bis zur Löschung des Accounts
Fotos beim KI-Dienstleister
Google: keine Zwischenspeicherung; bei Nutzung des Ausweich-Dienstleisters Anthropic bis zu 30 Tage
Technische Protokolle der Bildanalyse
90 Tage
Fehlermeldungen (Sentry)
30 Tage
Eigene Nutzungsanalyse in der App (Supabase)
12 Monate
Nutzungsereignisse (PostHog)
1 Jahr
Zählung der Website-Nutzung
Tageswerte 25 Monate, danach Monatssummen
Push-Token
bis zum Widerruf oder zur Löschung des Accounts
Support-Nachrichten
bis zur Erledigung, längstens bis zur Account-Löschung
Abrechnungsrelevante Daten
6 bzw. 10 Jahre nach handels- und steuerrechtlichen Vorgaben
19. Personalisierte Portionsschätzung
Aus deinen Korrekturen an geschätzten Mengen leiten wir ab, welche Portionsgrößen für dich typisch sind, und passen künftige Schätzungen daran an.
Die personalisierte Portionsschätzung stellt keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO dar, weil sie keine rechtliche Wirkung entfaltet und dich auch nicht in ähnlicher Weise erheblich beeinträchtigt. Es handelt sich um einen Vorschlagswert, den du vor dem Speichern jederzeit ändern kannst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 9 Abs. 2 lit. a DSGVO.
20. Weitergabe an Dritte
Über die in dieser Erklärung genannten Auftragsverarbeiter hinaus geben wir deine Daten nicht weiter. Wir verkaufen keine Daten, betreiben keine Werbung, erstellen keine Werbeprofile und stellen deine Daten niemandem zum Training von KI-Modellen zur Verfügung.
Eine Weitergabe erfolgt nur, soweit wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist.
21. Deine Rechte
Auskunft (Art. 15 DSGVO) — Du kannst Auskunft darüber verlangen, welche Daten wir über dich verarbeiten, zu welchem Zweck, an wen wir sie weitergeben und wie lange wir sie speichern, sowie eine Kopie dieser Daten erhalten.
Berichtigung (Art. 16 DSGVO) — Du kannst die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen.
Löschung (Art. 17 DSGVO) — Du kannst die Löschung deiner Daten verlangen. Du kannst deinen Account jederzeit selbst in der App löschen.
Einschränkung der Verarbeitung (Art. 18 DSGVO) — Du kannst unter bestimmten Voraussetzungen verlangen, dass wir deine Daten nur noch speichern und nicht weiter verarbeiten.
Datenübertragbarkeit (Art. 20 DSGVO) — Du kannst die von dir bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
Widerspruch (Art. 21 DSGVO) — Du kannst Verarbeitungen widersprechen, die wir auf ein berechtigtes Interesse stützen, insbesondere der Nutzungsstatistik.
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Du kannst erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
Beschwerde (Art. 77 DSGVO) — Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist:
Zur Ausübung dieser Rechte genügt eine formlose Nachricht an support@52n34s.com. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.
22. Datensicherheit
Die Übertragung zwischen App, Website und unseren Servern erfolgt durchgehend verschlüsselt (TLS). Der Zugriff auf Datenbankinhalte ist durch zeilenbasierte Zugriffsregeln beschränkt, sodass jeder Nutzer ausschließlich auf die eigenen Daten zugreifen kann. Passwörter werden nur als kryptografischer Hashwert gespeichert.
23. Minderjährige
Der Dienst richtet sich ausschließlich an Personen ab 18 Jahren. Wir erheben nicht wissentlich Daten von Minderjährigen. Erlangen wir Kenntnis davon, dass ein Account entgegen dieser Vorgabe von einer minderjährigen Person geführt wird, löschen wir die zugehörigen Daten. Erziehungsberechtigte können sich hierzu jederzeit an support@52n34s.com wenden.
Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist unter kolibi.app/privacy abrufbar. Über wesentliche Änderungen informieren wir dich in der App oder per E-Mail.
English version
This is a translation for convenience. In case of discrepancies, the German version above prevails, except where mandatory provisions of your country of residence require otherwise.
Privacy Policy
Last updated: 12 October 2026
1. Controller
The controller for the processing of personal data within the meaning of the GDPR is:
52N34S Group – Steffen Giebler Schwedter Str. 25, 10119 Berlin, Germany Email: support@52n34s.com
This Privacy Policy applies to the Kolibi app for iOS and to the website kolibi.app.
2. Overview
Kolibi combines a food diary with a training plan for bodyweight exercises. The Service necessarily processes data that allows conclusions about your health — body measurements, weight history, calorie intake, training data and photographs of your meals. This data enjoys special protection (Art. 9 GDPR) and we treat it accordingly.
The key points up front:
You can use the app without an account at first. Data is still created in that case; see section 4.
Your photographs are transmitted to Google Cloud for analysis and processed in data centres within the European Union. See section 7.
We do not store meal photographs. Exercise photos and your profile picture, which you upload yourself, are stored on servers in Frankfurt. See section 7a.
We do not sell data, run no advertising, and make your data available to no one for training AI models.
Error reporting and usage analytics run on providers with servers located in the EU.
3. Legal bases at a glance
Art. 6(1)(b) GDPR — performance of the contract: account, core app functions, subscription management
Art. 6(1)(f) GDPR — legitimate interests: security, abuse prevention, stability and improvement of the Service
Art. 6(1)(a) GDPR — consent: push notifications, Apple Health
Art. 9(2)(a) GDPR — explicit consent for health-related data
Art. 6(1)(c) GDPR — legal obligations, in particular commercial and tax retention duties
4. Use without an account
When you first launch the app, an anonymous session is created automatically. No input from you is required.
What is processed:
a randomly generated user identifier with no link to your person
a device identifier (on iOS, the operating system's "Identifier for Vendor")
the number of image analyses you have performed
all data you enter in the app (see sections 5 to 8)
Purpose: providing the Service without registration, and enforcing the limit of four free photo scans in the anonymous session.
Legal basis: Art. 6(1)(b) GDPR for provision, Art. 6(1)(f) GDPR for abuse prevention. Access to the device identifier occurs because it is strictly necessary to provide the digital service you have expressly requested (§ 25(2)(2) TDDDG).
Important to know: The device identifier is stored in your device's protected system storage (iOS keychain) and persists even after the app is uninstalled. It is reset when you remove all apps from the same provider from your device.
Limits on your rights without an account: Without an account we cannot identify you. We can therefore only act on requests for access, rectification or erasure if you enable us to make the connection. If you lose your device or reinstall, your data cannot be recovered.
Retention: Anonymous accounts are deleted automatically after 30 days of inactivity.
When you delete your account, the device identifier is removed from our database. It nevertheless remains in your device's protected system storage until you remove all apps from the same provider.
If you later create an account, your existing identifier is retained and your data carries over. If you instead sign in with an existing account, the data recorded without an account is lost; we tell you before this happens.
5. Account
Email registration: We process your email address and a password of your choosing, stored on our side only as a cryptographic hash.
"Sign in with Apple": We receive an identifier issued by Apple and an email address. If you use "Hide My Email", we receive only a relay address from Apple and not your real address. More at apple.com/legal/privacy
"Continue with Google": We receive your email address and, where released by you, your name and profile picture. More at policies.google.com/privacy
Purpose: providing the account, associating your data, restoring access. Legal basis: Art. 6(1)(b) GDPR. Retention: until you delete your account.
6. Profile, body, health and training data
To calculate your targets and maintain your food diary and training, we process:
date of birth, biological sex, height, activity level
weight and weight history, optionally a target weight
your calorie target, your macro targets and their history, your movement goal
all meals you record, with ingredients, quantities and nutritional values
your corrections to estimated portion sizes
supplements you record, their dosage and intake
your training plans and sessions with exercises, sets, repetitions, hold times, duration and intensity, and the estimated energy expenditure derived from them
personal bests, suggestions for the next exercise level and whether you accepted or declined them
Purpose: core function of the Service. Your training sessions feed into your daily calorie and macro targets. Suggestions for the next exercise level are generated by fixed rules from the sets you record, not by an AI model. We additionally use your corrections to portion sizes to adapt future estimates (see section 19).
Legal basis: Art. 6(1)(b) GDPR in conjunction with Art. 9(2)(a) GDPR. This data is health-related and therefore specially protected. We process it on the basis of your explicit consent, given when you first launch the app. You may withdraw it at any time with effect for the future by deleting your account; the lawfulness of processing carried out until then is unaffected.
Retention: until you delete your account.
7. AI photo analysis
This is the most significant processing operation in the Service from a data protection perspective. Please read this section carefully.
How it works: You photograph a meal. The image is transmitted to a server function we operate and forwarded from there to an AI service provider. An AI model identifies the components and estimates quantities. We receive the result in structured form and match the identified foods against our nutritional database.
Recipient: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Ireland (service "Vertex AI" with the Gemini model). A data processing agreement under Art. 28 GDPR is in place.
Fallback provider: In the event of technical disruptions or for quality assurance, we may temporarily perform the analysis through Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA. In that case processing generally takes place in the USA; the transfer is safeguarded by the European Commission's Standard Contractual Clauses under Art. 46(2)(c) GDPR. It nevertheless cannot be excluded that authorities in third countries may access data for monitoring and surveillance purposes and that no effective legal remedies are available against this. Anthropic stores inputs and outputs for up to 30 days for security and abuse-prevention purposes and does not use them to train its models.
What is transmitted: Only the image is sent to the analysis service, together with your dietary preference and a regional cuisine context where you have provided them, so that recognition is more accurate. Your user identifier, name, age, sex, weight and calorie target are not transmitted.
Processing location: With Google, we expressly use the European Union processing region. The image is analysed in data centres within the EU. Where Google accesses data from third countries in individual cases, for example for maintenance or support, this is safeguarded by the Standard Contractual Clauses in Google Cloud's data processing terms.
Retention at Google: We have disabled the caching of inputs for our project. Google may nevertheless log inputs to detect abuse and violations of its usage policies.
No model training: Google does not use data transmitted through Vertex AI to train its models.
Storage on our side: We do not store the photograph on our servers. It is processed solely for transmission to the analysis service. On your device, the copy created for the analysis is removed once processing is complete. We permanently store only the derived data: identified foods, estimated quantities, nutritional values and your corrections.
Legal basis: Art. 6(1)(b) GDPR in conjunction with Art. 9(2)(a) GDPR.
Your choice: You can also record meals without a photograph — via barcode capture or manual entry. In those cases no transmission to an AI service provider takes place.
7a. Images you upload
You can upload a profile picture and photos for your own exercises.
Storage location: Supabase Storage in the Frankfurt region (eu-central-1), in a private storage area (buckets "avatars" and "exercise-images"). Only you can access your images; the app loads them via time-limited, signed links.
Processing before upload: the app resizes and compresses the image on your device.
These images are not transmitted to the AI service provider and are not analysed.
Purpose: display within the app. Legal basis: Art. 6(1)(b) GDPR. Retention: until you remove or replace the image, at the latest until you delete your account.
Please do not upload images in which other people are identifiable without their consent.
8. Product data from Open Food Facts
When you scan a barcode, we look up the nutrition facts in Open Food Facts, a free food database run by the non-profit Open Food Facts Association (France).
This sends the barcode number and, for technical reasons, your device's IP address. No account data, meals or health data are sent.
We cache product data we find so later lookups are faster.
The legal basis is Art. 6(1)(b) GDPR, as the lookup is needed for the barcode feature you use.
Connecting to Apple Health is optional and requires your express authorisation in Apple's Health app.
Read: active energy burned, heart rate, steps, walking and running distance, waist circumference, body fat percentage, lean body mass, and workouts. We request no other data types.
Written back: waist circumference when you save a measurement in Kolibi. We do not write any other data types to Apple Health.
Purpose: adjusting your daily target to your actual activity, displaying your movement goal, and avoiding double-counted workouts.
Where the data goes: We store the daily active energy burned value in our database so that your history remains complete retrospectively. Body fat values we import from Apple Health are also stored in our database. All other values that are read are used solely for display and calculation on your device and are not stored. Stored values are deleted with your account.
Legal basis: Art. 6(1)(a) and Art. 9(2)(a) GDPR — your consent, given in Apple's authorisation dialogue.
Withdrawal: at any time in the Health app under "Sharing → Apps". Withdrawal from within Kolibi is not technically possible; we therefore link to the relevant place.
We do not use health data from Apple Health for advertising or market research, and we do not pass it to third parties.
10. Subscriptions and payments
Purchase and billing of subscriptions are handled exclusively through the Apple App Store. We receive no payment data — no card numbers, no bank details, no billing addresses.
Apple: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Ireland. More at apple.com/legal/privacy
RevenueCat: We use RevenueCat to manage subscriptions (RevenueCat, Inc., 300 Delaware Ave, Suite 210, Wilmington, DE 19801, USA). Your user identifier and subscription status are transmitted. Transfer to the USA is safeguarded by Standard Contractual Clauses. More at revenuecat.com/privacy
RevenueCat also reports trial starts and purchases to Meta, under the same rules as the Meta SDK. More under section 10a.
Purpose: unlocking paid features, detecting cancellation and expiry. Legal basis: Art. 6(1)(b) GDPR. Retention: for the duration of the contractual relationship; beyond that where commercial and tax retention obligations apply.
10a. Ad measurement with Meta (iOS app)
We use the Meta SDK provided by Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Ireland, to measure which Kolibi ads on Facebook and Instagram lead to installs and subscriptions.
Which rule applies to you depends on the country of your App Store account (storefront), not on where you are.
App Store account in the EU, the EEA or the United Kingdom: The Meta SDK only starts if you allow tracking in the iOS prompt (ATT). Without your permission, it does not start.
App Store account in other countries: The Meta SDK starts when you first open the app. If you do not allow tracking in the iOS prompt, it runs with Advertiser Tracking turned off and without your device's advertising ID (IDFA). It is then used for aggregated measurement of ad campaigns (Aggregated Event Measurement).
We process: an anonymous ID assigned by Meta, Apple's device- and vendor-specific identifier (IDFV), your IP address, device and app information, and app opens. Your device's advertising ID (IDFA) only if you allow tracking.
After setup is finished, the app sends the "Complete Registration" event to Meta once, under the same rules.
In addition, our subscription provider RevenueCat sends subscription events (trial start, purchase, renewal, price) together with these identifiers to Meta so Meta can match subscriptions to the right ads. The same rules apply: in the EU, the EEA and the United Kingdom only with your tracking permission, in other countries also without it, then without the advertising ID.
We do not share your food, training or health data with Meta.
In the EU, the EEA and the United Kingdom, the legal basis is your consent (Art. 6(1)(a) GDPR, Section 25(1) TDDDG). You can withdraw it at any time with effect for the future: in iOS Settings under Kolibi (turn off "Allow Tracking") or in the app under Settings → Security → Ad measurement. For App Store accounts in other countries, we base aggregated measurement without the advertising ID on our legitimate interest in measuring how well our ads work (Art. 6(1)(f) GDPR, where applicable). You can object to this measurement at any time: in the app under Settings → Security → Ad measurement.
Meta may also process data in the USA. Meta Platforms, Inc. is certified under the EU-US Data Privacy Framework. More in Meta's Privacy Policy: facebook.com/privacy/policy
11. Push notifications
If you consent to push notifications, we process a device identifier for delivery (push token) and your notification preferences.
Recipients: Apple Push Notification Service (Apple Distribution International Ltd., Ireland) and Expo's push service (650 Industries, Inc., USA), through which delivery is technically handled.
Content: Notifications contain no health data and no information about individual meals.
Purpose: reminders to record meals. Legal basis: Art. 6(1)(a) GDPR — your consent, given in the iOS system dialogue. Withdrawal: at any time in iOS Settings under "Notifications" or in the app's settings. Retention: until withdrawal or deletion of your account.
11a. Local notifications
For the rest timer during training, the app schedules local notifications on your device. They are created solely on your device and are not sent via our servers or third parties. The reminder before the end of a trial is also a local notification on your device; no data is transmitted for it. Legal basis: Art. 6(1)(a) GDPR, your consent in the iOS system dialogue.
12. Error and crash reporting
We use Sentry to detect and fix errors.
Provider: Functional Software, Inc. ("Sentry"), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Server location: European Union. Our organisation is configured to the EU data region; data is processed in Frankfurt. No transfer to the USA takes place for this processing.
Processed: error messages and technical state data, device model, operating system version, app version, and the program flow preceding the error. For certain operations — in particular setting up push notifications — your user identifier and device identifier are also transmitted, so that errors can be attributed to those operations.
Not processed: Automatic transmission of default personal data is disabled in the configuration (sendDefaultPii: false). Screen recording ("session replay") is disabled. Photographs, file paths to photographs, names of individual foods, meal data, weight and calorie targets are not transmitted to Sentry. Server-side data scrubbing and suppression of IP address storage are enabled.
Purpose: stability and troubleshooting. Legal basis: Art. 6(1)(f) GDPR — our legitimate interest in a functioning Service. Retention: 30 days. The period depends on our provider's plan; we will update this statement if it changes. Processing agreement: a contract under Art. 28 GDPR is in place.
13. First-party usage analytics in the app
To improve the app, we record which steps in the app are used, for example which setup steps are completed, when the subscription screen is shown, and whether a purchase or a trial is started.
We store: a random installation identifier kept on your device, your pseudonymous user identifier, the event name, selected categories (for example training goal or number of training days), app version and timestamp. We do not collect health values such as weight, height or date of birth, and no free-text inputs.
The data is stored in our own database at Supabase in the EU (Frankfurt) and is not shared with third parties. The legal basis is our legitimate interest in improving the app (Art. 6(1)(f) GDPR). The data is deleted after 12 months.
You can object to this analysis at any time in the app under Settings, Your data rights, "Help improve Kolibi". Then no further events are recorded.
13a. Usage analytics with PostHog
In addition, we use PostHog to associate registered accounts and to capture automatic app events from the SDK, for example app opens.
Provider: PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Server location: European Union (eu.i.posthog.com). No transfer to the USA takes place for this processing.
Processed: for registered accounts, your user identifier (via posthog.identify) and automatic app events from the PostHog SDK (for example app opened). Product events from the app, such as onboarding, paywall or account events, are not sent to PostHog. Anonymous users are not identified in PostHog.
No content is transmitted: no foods, no quantities, no nutritional values, no body or weight data.
Not processed: Automatic capture of all interactions ("autocapture") is disabled. Screen recording ("session replay") is disabled. Photographs and the contents of individual meals are not transmitted.
Purpose: associating registered accounts and capturing basic app usage. Legal basis: Art. 6(1)(f) GDPR. Retention: 1 year. Objection: You may object to this processing at any time under Art. 21 GDPR. An informal message to support@52n34s.com is sufficient. Processing agreement: a contract under Art. 28 GDPR is in place.
14. Technical logs of image analysis
For each image analysis we store a technical log: your user identifier, timestamp, number of images, the model used, response time, processing volume, status, and in the event of an error a truncated error message. We also store the structured recognition result — the identified foods with estimated quantities and nutritional values. The image itself is not stored in this log; image data is removed from error messages before storage.
Purpose: detecting malfunctions, tracing recognition errors, cost control and enforcing usage limits.
Legal basis: Art. 6(1)(f) GDPR — our legitimate interest in a functioning and abuse-resistant Service — in conjunction with Art. 9(2)(a) GDPR insofar as the recognition result is health-related.
Retention: 90 days. On deletion of your account the logs are removed immediately, irrespective of that period.
15. Support
If you send us a message through the app's support area, we process the content of your message, the category selected, your user identifier and the timestamp.
Purpose: handling your request. Legal basis: Art. 6(1)(b) GDPR for contract-related requests, otherwise Art. 6(1)(f) GDPR. Retention: until your request is resolved, at the latest until deletion of your account, unless statutory retention obligations apply.
15a. Exporting your data
You can generate a text summary of your nutrition, training and body data over a chosen period. The summary is created on your device and handed to a destination of your choice via the iOS share sheet, such as the clipboard or another app. We transmit nothing in this process. Processing by the recipient you choose, for example an AI service, is governed by that recipient's privacy terms. When you share to Instagram Stories, the image is passed to the Instagram app only upon your action.
16. Email delivery
We use Resend to send contract-related emails (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Your email address and the message content are transmitted. Transfer to the USA is safeguarded by Standard Contractual Clauses.
Legal basis: Art. 6(1)(b) GDPR.
We do not send marketing emails without your separate consent.
17. Hosting and technical provision
Database and authentication including storage of images you upload: Supabase, Inc., 970 Toa Payoh North, Singapore. Your account data is stored in the Frankfurt region (eu-central-1) within the European Union. A data processing agreement is in place. More at supabase.com/privacy
Website and server functions: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. When you visit the website, Vercel processes technical connection data, in particular IP address, timestamp, resource requested, browser type and operating system. Transfer to the USA is safeguarded by Standard Contractual Clauses. More at vercel.com/legal/privacy-policy
App distribution and updates: Apple Distribution International Ltd. (App Store) and 650 Industries, Inc. ("Expo", USA) for the delivery of program updates.
Cookies: The website kolibi.app sets no cookies and uses no third-party analytics or advertising services. For our own aggregated counting see section 17a. The app uses no cookies; it stores technically necessary data such as your session identifier and language setting locally on your device.
17a. Counting website use
On kolibi.app we count ourselves how often pages are viewed and features are used: for example a tool calculated, a result shared or saved as an image, an FAQ question opened, a level chosen on the home page or the App Store button clicked. We use no third-party services for this.
We only store daily counts: date, page, page language, country, origin of the visit as a broad group (for example search engine, social network, AI assistant, direct) and the type of event. For tools we add aggregated categories such as the level in the level test, the goal in the protein calculator or the variant of a personal best card. Values you enter, such as weight, reps or personal bests, are not sent.
Our hosting provider Vercel derives the country from the IP address when the page is requested (see section 17). We do not store the IP address. There are no cookies, no storage in your browser for this counting, no identifier, no profile and no link to a Kolibi account. Individual visits cannot be read from the counts.
Storage: Supabase, Frankfurt region (EU). Purpose: improving the website and understanding which content and tools are helpful. Legal basis: Art. 6(1)(f) GDPR, to the extent personal data is processed at all. Retention: daily values 25 months, then only monthly totals.
Sharing results: The level test and the protein calculator write your inputs into the page address so you can share the result as a link. We do not send this address for the counting. You share the link yourself; we do not learn with whom.
App Store links on tool pages: On the tool pages the link to the App Store can carry campaign parameters (pt and ct, for example "ct=tool-protein-calculator"). Apple uses them to see which tool a visit to the App Store came from and shows us only aggregated numbers per campaign in App Store Connect, such as views and downloads. We receive no data about individual people. Apple is responsible for the processing in the App Store.
Saved choice: The level you choose on the home page is stored locally in your browser (localStorage) so it is kept for your next visit. It is only transmitted as part of the counting. You can delete it at any time in your browser settings.
18. Retention at a glance
Data
Period
Account, profile, health, meal and training data
until account deletion
Inactive anonymous accounts
30 days
Meal photographs on our side
not stored
Exercise photos and profile picture
until you remove them, at the latest until account deletion
Stored values from Apple Health
daily active energy burned and imported body fat values — until account deletion
Photographs at the AI provider
Google: no caching; up to 30 days when the fallback provider Anthropic is used
Technical logs of image analysis
90 days
Error reports (Sentry)
30 days
First-party usage analytics in the app (Supabase)
12 months
Usage events (PostHog)
1 year
Counting website use
Daily values 25 months, then monthly totals
Push tokens
until withdrawal or account deletion
Support messages
until resolved, at the latest until account deletion
Billing-relevant data
6 or 10 years under commercial and tax law
19. Personalised portion estimation
From your corrections to estimated quantities, we infer which portion sizes are typical for you and adapt future estimates accordingly.
Personalised portion estimation does not constitute automated decision-making within the meaning of Art. 22 GDPR, because it does not produce legal effects or similarly significantly affect you. It is a suggested value that you can change at any time before saving.
Legal basis: Art. 6(1)(b) GDPR in conjunction with Art. 9(2)(a) GDPR.
20. Disclosure to third parties
Beyond the processors named in this policy, we do not disclose your data. We do not sell data, run no advertising, create no advertising profiles, and make your data available to no one for training AI models.
Disclosure occurs only where we are legally obliged to do so or where it is necessary to enforce our rights.
21. Your rights
Access (Art. 15 GDPR) — You may request information about what data we process about you, for what purpose, to whom we disclose it and how long we store it, and receive a copy of that data.
Rectification (Art. 16 GDPR) — You may request correction of inaccurate data and completion of incomplete data.
Erasure (Art. 17 GDPR) — You may request erasure of your data. You can delete your account yourself in the app at any time.
Restriction of processing (Art. 18 GDPR) — Under certain conditions you may require that we only store your data and process it no further.
Data portability (Art. 20 GDPR) — You may receive the data you provided in a structured, commonly used and machine-readable format.
Objection (Art. 21 GDPR) — You may object to processing based on a legitimate interest, in particular usage analytics.
Withdrawal of consent (Art. 7(3) GDPR) — You may withdraw consent at any time with effect for the future. The lawfulness of processing carried out until then is unaffected.
Complaint (Art. 77 GDPR) — You may lodge a complaint with a data protection supervisory authority. The competent authority for us is:
An informal message to support@52n34s.com is sufficient to exercise these rights. We respond within the statutory period of one month.
22. Data security
Transmission between the app, the website and our servers is encrypted throughout (TLS). Access to database content is restricted by row-level access rules, so that each user can access only their own data. Passwords are stored only as a cryptographic hash.
23. Minors
The Service is intended exclusively for persons aged 18 and over. We do not knowingly collect data from minors. If we become aware that an account is held by a minor contrary to this requirement, we delete the associated data. Parents and guardians may contact us at support@52n34s.com.
We update this policy when our processing or legal requirements change. The current version is available at kolibi.app/privacy. We will inform you of material changes in the app or by email.
Versión en español
Esta es una traducción facilitada para su comodidad. En caso de discrepancia, prevalece la versión alemana anterior, salvo que las disposiciones imperativas de su país de residencia establezcan otra cosa.
Política de privacidad
Última actualización: 12 de octubre de 2026
1. Responsable del tratamiento
El responsable del tratamiento de los datos personales en el sentido del RGPD (Reglamento (UE) 2016/679) es:
52N34S Group – Steffen Giebler Schwedter Str. 25, 10119 Berlín, Alemania Correo electrónico: support@52n34s.com
Esta política de privacidad se aplica a la app «Kolibi» para iOS y al sitio web kolibi.app.
2. Resumen
Kolibi combina un diario de alimentación con un plan de entrenamiento de ejercicios con el propio peso corporal. Por su propia naturaleza, el servicio trata datos que permiten extraer conclusiones sobre su salud: medidas corporales, evolución del peso, ingesta de calorías, datos de entrenamiento y fotos de sus comidas. Estos datos gozan de una protección especial (art. 9 RGPD) y los tratamos en consecuencia.
Los puntos más importantes, de entrada:
En un primer momento puede usar la app sin cuenta. También en ese caso se generan datos; encontrará más información en el apartado 4.
Sus fotos se transmiten a Google Cloud para su análisis y se tratan en centros de datos situados en la Unión Europea. Más información en el apartado 7.
No almacenamos las fotos de comidas. Las fotos de ejercicios y su foto de perfil, que usted mismo sube, las almacenamos en servidores situados en Fráncfort. Más información en el apartado 7a.
No vendemos datos, no realizamos publicidad y no ponemos sus datos a disposición de nadie para el entrenamiento de modelos de IA.
El análisis de errores y las estadísticas de uso se realizan a través de proveedores con servidores situados en la UE.
3. Bases jurídicas en resumen
Art. 6.1.b) RGPD: ejecución del contrato de uso. Cuenta, funciones principales de la app, gestión de la suscripción
Art. 6.1.f) RGPD: intereses legítimos. Seguridad, prevención de abusos, estabilidad y mejora del servicio
Art. 6.1.a) RGPD: consentimiento. Notificaciones push, Apple Health
Art. 9.2.a) RGPD: consentimiento explícito para datos relativos a la salud
Art. 6.1.c) RGPD: obligaciones legales, en particular las obligaciones de conservación mercantiles y tributarias
4. Uso sin cuenta
Al iniciar la app por primera vez se crea automáticamente una sesión anónima. Para ello no necesita facilitar ningún dato.
Datos que se tratan en este caso:
un identificador de usuario generado aleatoriamente, sin relación con su persona
un identificador del dispositivo (en iOS, el «Identifier for Vendor» asignado por el sistema operativo)
el número de análisis de imágenes que ha realizado
todos los datos que introduzca en la app (véanse los apartados 5 a 8)
Finalidad: prestación del servicio sin registro y aplicación del límite de cuatro escaneos de fotos gratuitos en la sesión anónima.
Base jurídica: art. 6.1.b) RGPD para la prestación del servicio y art. 6.1.f) RGPD para la prevención de abusos. El acceso al identificador del dispositivo se produce porque es necesario para prestar el servicio que usted ha solicitado expresamente (§ 25 apdo. 2 n.º 2 TDDDG, Ley alemana de protección de datos en telecomunicaciones y servicios digitales).
Importante: el identificador del dispositivo se guarda en el almacenamiento protegido del sistema de su dispositivo (llavero de iOS) y se conserva allí incluso después de desinstalar la app. Se restablece cuando elimina de su dispositivo todas las apps del mismo proveedor.
Límites de sus derechos sin cuenta: sin cuenta no podemos identificarle. Por ello, solo podemos tramitar solicitudes de acceso, rectificación y supresión si usted nos permite realizar la asignación. En caso de pérdida del dispositivo o de reinstalación, sus datos no se pueden recuperar.
Plazo de conservación: las cuentas anónimas se eliminan automáticamente tras 30 días sin actividad.
Al eliminar su cuenta, el identificador del dispositivo se borra de nuestra base de datos. No obstante, permanece en el almacenamiento protegido del sistema de su dispositivo hasta que elimine todas las apps del mismo proveedor.
Si más adelante crea una cuenta, se mantiene su identificador anterior y se conservan sus datos. Si, en cambio, inicia sesión con una cuenta ya existente, se pierden los datos registrados sin cuenta; se lo advertiremos previamente.
5. Cuenta
Registro por correo electrónico: tratamos su dirección de correo electrónico y una contraseña elegida por usted, que almacenamos únicamente como valor hash criptográfico.
«Iniciar sesión con Apple»: recibimos un identificador asignado por Apple y una dirección de correo electrónico. Si utiliza la función «Ocultar mi correo electrónico», solo recibimos una dirección de reenvío de Apple y no su dirección real. Más información en Apple: apple.com/legal/privacy
«Continuar con Google»: recibimos su dirección de correo electrónico y, si usted lo autoriza, su nombre y su foto de perfil. Más información en Google: policies.google.com/privacy
Finalidad: prestación de la cuenta, asignación de sus datos, recuperación del acceso. Base jurídica: art. 6.1.b) RGPD. Plazo de conservación: hasta la eliminación de su cuenta.
6. Datos de perfil, corporales, de salud y de entrenamiento
Para calcular sus objetivos y llevar el diario de alimentación y el entrenamiento, tratamos:
fecha de nacimiento, sexo biológico, estatura, nivel de actividad
peso y evolución del peso y, opcionalmente, un peso objetivo
su objetivo de calorías, sus objetivos de macronutrientes y su evolución, su objetivo de movimiento
todas las comidas que registre, con ingredientes, cantidades y valores nutricionales
sus correcciones de los tamaños de ración estimados
los suplementos que registre, su dosificación y su toma
sus planes de entrenamiento y sesiones con ejercicios, series, repeticiones, tiempos de mantenimiento, duración e intensidad, así como el gasto energético estimado a partir de ellos
marcas personales, así como las propuestas para el siguiente nivel de ejercicio y si las ha aceptado o rechazado
Finalidad: función principal del servicio. Sus sesiones de entrenamiento se incorporan a su objetivo diario de calorías y macronutrientes. Las propuestas para el siguiente nivel de ejercicio se generan conforme a reglas fijas a partir de las series que ha registrado, no mediante un modelo de IA. Además, utilizamos sus correcciones de los tamaños de ración para ajustar estimaciones futuras (véase el apartado 19).
Base jurídica: art. 6.1.b) RGPD en relación con el art. 9.2.a) RGPD. Estos datos son relativos a la salud y, por tanto, gozan de una protección especial. Los tratamos sobre la base de su consentimiento explícito, que usted otorga al iniciar la app por primera vez. Puede retirarlo en cualquier momento con efectos para el futuro eliminando su cuenta; ello no afecta a la licitud del tratamiento realizado hasta ese momento.
Plazo de conservación: hasta la eliminación de su cuenta.
7. Análisis de fotos mediante inteligencia artificial
Este es el tratamiento más relevante del servicio desde el punto de vista de la protección de datos. Le rogamos que lea este apartado con atención.
Proceso: usted fotografía una comida. La imagen se transmite a una función de servidor operada por nosotros y, desde allí, se reenvía a un proveedor de servicios de IA. Un modelo de IA reconoce los componentes y estima las cantidades. Recibimos el resultado en forma estructurada y cotejamos los alimentos reconocidos con nuestra base de datos de valores nutricionales.
Destinatario: Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irlanda (servicio «Vertex AI» con el modelo Gemini). Existe un contrato de encargo del tratamiento conforme al art. 28 RGPD.
Proveedor alternativo: en caso de incidencias técnicas o con fines de control de calidad, podemos realizar el análisis temporalmente a través de Anthropic PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, EE. UU. En ese caso, el tratamiento tiene lugar por regla general en EE. UU.; la transferencia está amparada por las cláusulas contractuales tipo de la Comisión Europea conforme al art. 46.2.c) RGPD. Aun así, no puede descartarse que autoridades de terceros países accedan a los datos con fines de control y vigilancia y que no existan recursos jurídicos efectivos frente a ello. Anthropic conserva las entradas y salidas hasta 30 días con fines de seguridad y de control de abusos y no las utiliza para entrenar sus modelos.
Qué se transmite: al servicio de análisis se envían exclusivamente la imagen y, si los ha indicado, su tipo de alimentación y un contexto culinario regional, para que el reconocimiento sea más preciso. No se transmiten su identificador de usuario, su nombre, su edad, su sexo, su peso ni su objetivo de calorías.
Lugar del tratamiento: en Google utilizamos expresamente la región de tratamiento Unión Europea. La imagen se analiza en centros de datos situados en la UE. En la medida en que Google acceda en casos concretos a los datos desde terceros países, por ejemplo en el marco de tareas de mantenimiento o soporte, dicho acceso está amparado por las cláusulas contractuales tipo del contrato de encargo del tratamiento de Google Cloud.
Plazo de conservación en Google: hemos desactivado para nuestro proyecto el almacenamiento en caché de las entradas. No obstante, Google puede registrar las entradas para detectar abusos e infracciones de sus políticas de uso.
Sin entrenamiento de modelos: Google no utiliza los datos transmitidos a través de Vertex AI para entrenar sus modelos.
Almacenamiento por nuestra parte:no almacenamos la foto en nuestros servidores. Se trata exclusivamente para reenviarla al servicio de análisis. En su dispositivo, la copia generada para el análisis se elimina una vez finalizado el tratamiento. Solo almacenamos de forma permanente los datos derivados: alimentos reconocidos, cantidades estimadas, valores nutricionales y sus correcciones.
Base jurídica: art. 6.1.b) RGPD en relación con el art. 9.2.a) RGPD.
Su elección: también puede registrar comidas sin foto, mediante el escaneo de códigos de barras o la introducción manual. En estos casos no se produce ninguna transmisión a un proveedor de servicios de IA.
7a. Imágenes subidas por usted
Puede subir una foto de perfil y fotos de sus propios ejercicios.
Lugar de almacenamiento: Supabase Storage en la región de Fráncfort (eu-central-1), en un área de almacenamiento privada (buckets «avatars» y «exercise-images»). Solo usted puede acceder a sus imágenes; la app las carga mediante enlaces firmados de validez limitada en el tiempo.
Tratamiento antes de la subida: la app reduce y comprime la imagen en su dispositivo.
Estas imágenes no se transmiten al proveedor de servicios de IA ni se analizan.
Finalidad: visualización en la app. Base jurídica: art. 6.1.b) RGPD. Plazo de conservación: hasta que elimine o sustituya la imagen y, como máximo, hasta la eliminación de su cuenta.
Le rogamos que no suba imágenes en las que se pueda reconocer a otras personas sin su consentimiento.
8. Datos de productos de Open Food Facts
Cuando escanea un código de barras, consultamos los valores nutricionales en Open Food Facts, una base de datos libre de alimentos de la asociación sin ánimo de lucro Open Food Facts Association (Francia).
En ese proceso se transmite el número del código de barras y, por razones técnicas, la dirección IP de su dispositivo. No se transmiten datos de su cuenta, sus comidas ni datos de salud.
Almacenamos temporalmente los datos de productos encontrados para que las consultas posteriores sean más rápidas.
La base jurídica es el art. 6.1.b) RGPD, ya que la consulta es necesaria para la función de código de barras que usted utiliza.
La conexión con Apple Health es opcional y requiere su autorización expresa en la app Salud de Apple.
Se leen: las calorías quemadas activamente (energía activa), la frecuencia cardiaca, los pasos, la distancia recorrida caminando y corriendo, el perímetro de cintura, el porcentaje de grasa corporal, la masa magra y los entrenamientos (workouts). No solicitamos otros tipos de datos.
Se escribe de vuelta: el perímetro de cintura, cuando guarda una medición en Kolibi. No escribimos otros tipos de datos en Apple Health.
Finalidad: ajuste de su objetivo diario a su actividad real, visualización de su objetivo de movimiento y prevención del doble cómputo de entrenamientos.
Destino de los datos: almacenamos en nuestra base de datos el valor diario de las calorías quemadas activamente, para que su historial también esté completo con carácter retroactivo. Los valores de grasa corporal que importamos de Apple Health también los almacenamos en nuestra base de datos. Todos los demás valores leídos se utilizan exclusivamente para su visualización y cálculo en su dispositivo y no se almacenan. Los valores almacenados se eliminan junto con su cuenta.
Base jurídica: art. 6.1.a) y art. 9.2.a) RGPD. Su consentimiento, otorgado en el cuadro de diálogo de autorización de Apple.
Retirada del consentimiento: en cualquier momento en la app Salud, en «Compartir → Apps». Técnicamente no es posible retirarlo desde Kolibi; por ello, enlazamos al lugar correspondiente.
No utilizamos los datos de salud de Apple Health con fines publicitarios ni de estudios de mercado, ni los cedemos a terceros.
10. Suscripción y pagos
La compra y la facturación de las suscripciones se realizan exclusivamente a través del App Store de Apple. No recibimos datos de pago: ni números de tarjeta, ni datos bancarios, ni direcciones de facturación.
Apple: Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda. Más información en apple.com/legal/privacy
RevenueCat: para la gestión de las suscripciones utilizamos RevenueCat (RevenueCat, Inc., 300 Delaware Ave, Suite 210, Wilmington, DE 19801, EE. UU.). Se transmiten su identificador de usuario y el estado de su suscripción. La transferencia a EE. UU. está amparada por cláusulas contractuales tipo. Más información en revenuecat.com/privacy
RevenueCat transmite además a Meta los inicios de periodos de prueba y las compras, conforme a las mismas reglas que el SDK de Meta. Más información en el apartado 10a.
Finalidad: desbloqueo de funciones de pago, detección de cancelación y vencimiento. Base jurídica: art. 6.1.b) RGPD. Plazo de conservación: durante la vigencia de la relación contractual y, más allá de ella, en la medida en que existan obligaciones de conservación mercantiles y tributarias.
10a. Medición publicitaria con Meta (app de iOS)
Utilizamos el SDK de Meta de Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irlanda, para medir qué anuncios de Kolibi en Facebook e Instagram dan lugar a instalaciones y suscripciones.
La regla que se le aplica depende del país de su cuenta del App Store (storefront), no del lugar en el que se encuentre.
Cuenta del App Store en la UE, el EEE o el Reino Unido: el SDK de Meta solo se inicia si usted permite el rastreo en el cuadro de diálogo de iOS (ATT). Sin su permiso no se inicia.
Cuenta del App Store en otros países: el SDK de Meta se inicia la primera vez que abre la app. Si no permite el rastreo en el cuadro de diálogo de iOS, funciona con el Advertiser Tracking desactivado y sin el identificador publicitario de su dispositivo (IDFA). En ese caso sirve para la medición agregada de campañas publicitarias (Aggregated Event Measurement).
Se tratan: un ID anónimo asignado por Meta, el identificador de Apple vinculado al dispositivo y al proveedor (IDFV), la dirección IP, información sobre el dispositivo y la app, así como la apertura de la app. El identificador publicitario de su dispositivo (IDFA) solo se trata si usted permite el rastreo.
Una vez finalizada la configuración, la app envía una única vez a Meta el evento «Registro completado», conforme a las mismas reglas.
Además, nuestro proveedor de suscripciones RevenueCat transmite a Meta eventos de suscripción (inicio de un periodo de prueba, contratación, renovación, precio) junto con estos identificadores, para que Meta pueda atribuir las suscripciones al anuncio correspondiente. También aquí se aplican las mismas reglas: en la UE, el EEE y el Reino Unido, solo con su permiso de rastreo; en otros países, también sin él, en cuyo caso sin identificador publicitario.
No cedemos a Meta sus datos de alimentación, entrenamiento ni salud.
En la UE, el EEE y el Reino Unido, la base jurídica es su consentimiento (art. 6.1.a) RGPD, § 25 apdo. 1 TDDDG, Ley alemana de protección de datos en telecomunicaciones y servicios digitales). Puede retirarlo en cualquier momento con efectos para el futuro: en los Ajustes de iOS, en Kolibi (desactivando «Permitir rastreo»), o en la app, en Ajustes → Seguridad → Medición de anuncios. La medición agregada sin identificador publicitario para cuentas del App Store de otros países se basa en nuestro interés legítimo en medir la eficacia de nuestra publicidad (art. 6.1.f) RGPD, en la medida en que sea aplicable). Puede oponerse a esta medición en cualquier momento: en la app, en Ajustes → Seguridad → Medición de anuncios.
Meta también puede tratar datos en EE. UU. Meta Platforms, Inc. está certificada conforme al Marco de Privacidad de Datos UE-EE. UU. Más información en la política de datos de Meta: facebook.com/privacy/policy
11. Notificaciones push
Si acepta recibir notificaciones push, tratamos un identificador del dispositivo para el envío (token push) y sus ajustes de notificaciones.
Destinatarios: Apple Push Notification Service (Apple Distribution International Ltd., Irlanda) y el servicio push de Expo (650 Industries, Inc., EE. UU.), a través del cual se gestiona técnicamente la entrega.
Contenido: las notificaciones no contienen datos de salud ni información sobre comidas concretas.
Finalidad: recordatorio para registrar comidas. Base jurídica: art. 6.1.a) RGPD. Su consentimiento, otorgado en el cuadro de diálogo del sistema iOS. Retirada del consentimiento: en cualquier momento en los Ajustes de iOS, en «Notificaciones», o en los ajustes de la app. Plazo de conservación: hasta la retirada del consentimiento o la eliminación de su cuenta.
11a. Notificaciones locales
Para el temporizador de descanso durante el entrenamiento, la app programa notificaciones locales en su dispositivo. Estas se generan exclusivamente en su dispositivo y no se envían a través de nuestros servidores ni de terceros. El recordatorio previo al final del periodo de prueba es también una notificación local en su dispositivo; para ello no se transmite ningún dato. Base jurídica: art. 6.1.a) RGPD, su consentimiento en el cuadro de diálogo del sistema iOS.
12. Análisis de errores y fallos
Para detectar y corregir errores utilizamos Sentry.
Proveedor: Functional Software, Inc. («Sentry»), 45 Fremont Street, 8th Floor, San Francisco, CA 94105, EE. UU. Ubicación de los servidores: Unión Europea. Nuestra organización está configurada en la región de datos de la UE; los datos se tratan en Fráncfort. Para este tratamiento no se produce ninguna transferencia a EE. UU.
Se tratan: mensajes de error y datos técnicos de estado, modelo del dispositivo, versión del sistema operativo, versión de la app y la secuencia de ejecución del programa previa al error. En determinados procesos, en particular al configurar las notificaciones push, se transmiten también su identificador de usuario y el identificador del dispositivo, para poder asignar los errores a dichos procesos.
No se tratan: la transmisión automática de datos personales estándar está desactivada en la configuración (sendDefaultPii: false). La grabación de contenidos de pantalla («Session Replay») está desactivada. No se transmiten a Sentry fotos, rutas de archivo de fotos, nombres de alimentos concretos, datos de comidas, peso ni objetivos de calorías. La depuración de datos en el servidor y la supresión del almacenamiento de direcciones IP están activadas.
Finalidad: estabilidad y corrección de errores. Base jurídica: art. 6.1.f) RGPD. Nuestro interés legítimo en un servicio que funcione correctamente. Plazo de conservación: 30 días. El plazo depende de la tarifa de nuestro proveedor; si cambia, actualizaremos esta información. Encargo del tratamiento: existe un contrato conforme al art. 28 RGPD.
13. Análisis de uso propio en la app
Para mejorar la app, registramos qué pasos se utilizan en ella, por ejemplo, qué pasos de la configuración se completan, cuándo se muestra la pantalla de suscripción y si se inicia una compra o un periodo de prueba.
Para ello almacenamos: un identificador de instalación aleatorio que se guarda en su dispositivo, su identificador de usuario seudónimo, el nombre del evento, las categorías elegidas (por ejemplo, objetivo de entrenamiento o número de días de entrenamiento), la versión de la app y la fecha y hora. No registramos valores de salud como el peso, la estatura o la fecha de nacimiento, ni textos introducidos libremente.
Los datos se almacenan en nuestra propia base de datos en Supabase, en la UE (Fráncfort), y no se ceden a terceros. La base jurídica es nuestro interés legítimo en mejorar la app (art. 6.1.f) RGPD). Los datos se eliminan transcurridos 12 meses.
Puede oponerse a este análisis en cualquier momento en la app, en Ajustes, Tus derechos de datos, «Ayuda a mejorar Kolibi». A partir de ese momento no se registrarán más eventos.
13a. Estadísticas de uso con PostHog
Además, utilizamos PostHog para asignar las cuentas registradas y registrar eventos automáticos de la app generados por el SDK, por ejemplo, la apertura de la app.
Proveedor: PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, EE. UU. Ubicación de los servidores: Unión Europea (eu.i.posthog.com). Para este tratamiento no se produce ninguna transferencia a EE. UU.
Se tratan: en el caso de cuentas registradas, su identificador de usuario (mediante posthog.identify), así como los eventos automáticos de la app del SDK de PostHog (por ejemplo, app abierta). Los eventos de producto de la app, por ejemplo sobre el onboarding, el paywall o la cuenta, no se envían a PostHog. Los usuarios anónimos no se identifican en PostHog.
No se transmite ningún contenido: ni alimentos, ni cantidades, ni valores nutricionales, ni datos corporales o de peso.
No se tratan: el registro automático de todas las interacciones («Autocapture») está desactivado. La grabación de contenidos de pantalla («Session Replay») está desactivada. No se transmiten fotos ni contenidos de comidas concretas.
Finalidad: asignación de cuentas registradas y registro del uso básico de la app. Base jurídica: art. 6.1.f) RGPD. Plazo de conservación: 1 año. Oposición: puede oponerse a este tratamiento en cualquier momento conforme al art. 21 RGPD. Basta con un mensaje sin formalidades a support@52n34s.com. Encargo del tratamiento: existe un contrato conforme al art. 28 RGPD.
14. Registros técnicos del análisis de imágenes
Por cada análisis de imagen almacenamos un registro técnico: su identificador de usuario, la fecha y hora, el número de imágenes, el modelo utilizado, el tiempo de respuesta, el volumen de tratamiento, el estado y, en caso de error, un mensaje de error abreviado. Además, se almacena el resultado estructurado del reconocimiento, es decir, los alimentos reconocidos con las cantidades y los valores nutricionales estimados. La imagen en sí no se almacena en este registro; los datos de imagen se eliminan de los mensajes de error antes de su almacenamiento.
Finalidad: detección de fallos de funcionamiento, trazabilidad de errores de reconocimiento, control de costes y aplicación de los límites de uso.
Base jurídica: art. 6.1.f) RGPD (nuestro interés legítimo en un servicio que funcione correctamente y esté protegido frente a abusos), en relación con el art. 9.2.a) RGPD, en la medida en que el resultado del reconocimiento sea relativo a la salud.
Plazo de conservación: 90 días. Si elimina su cuenta, los registros se eliminan inmediatamente con independencia de dicho plazo.
15. Soporte
Si nos envía un mensaje a través del área de soporte de la app, tratamos el contenido de su mensaje, la categoría elegida, su identificador de usuario y la fecha y hora.
Finalidad: tramitación de su consulta. Base jurídica: art. 6.1.b) RGPD en el caso de consultas relacionadas con el contrato y, en los demás casos, art. 6.1.f) RGPD. Plazo de conservación: hasta la tramitación definitiva y, como máximo, hasta la eliminación de su cuenta, salvo que lo impidan obligaciones legales de conservación.
15a. Exportación de sus datos
Puede generar en forma de texto un resumen de sus datos de alimentación, entrenamiento y corporales correspondientes a un periodo elegido. El resumen se crea en su dispositivo y se entrega, a través del menú Compartir de iOS, al destino que usted elija, por ejemplo, al portapapeles o a otra app. En este proceso no transmitimos nada. Al tratamiento realizado por el destinatario que usted elija, por ejemplo, un servicio de IA, se le aplican sus propias condiciones de protección de datos. Al compartir en Instagram Stories, la imagen solo se entrega a la app de Instagram a raíz de una acción suya.
16. Envío de correos electrónicos
Para el envío de correos electrónicos relacionados con el contrato utilizamos Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, EE. UU.). Se transmiten su dirección de correo electrónico y el contenido del mensaje. La transferencia a EE. UU. está amparada por cláusulas contractuales tipo.
Base jurídica: art. 6.1.b) RGPD.
No enviamos correos electrónicos publicitarios sin su consentimiento específico.
17. Alojamiento y provisión técnica
Base de datos y autenticación, incluido el almacenamiento de las imágenes que usted sube: Supabase, Inc., 970 Toa Payoh North, Singapur. Los datos de su cuenta se almacenan en la región de Fráncfort (eu-central-1), dentro de la Unión Europea. Existe un contrato de encargo del tratamiento. Más información en supabase.com/privacy
Sitio web y funciones de servidor: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, EE. UU. Cuando se accede al sitio web, Vercel trata datos técnicos de conexión, en particular la dirección IP, la fecha y hora, el recurso solicitado, el tipo de navegador y el sistema operativo. La transferencia a EE. UU. está amparada por cláusulas contractuales tipo. Más información en vercel.com/legal/privacy-policy
Distribución y actualizaciones de la app: Apple Distribution International Ltd. (App Store) y 650 Industries, Inc. («Expo», EE. UU.) para la distribución de actualizaciones del programa.
Cookies: el sitio web kolibi.app no utiliza cookies ni servicios de análisis o publicidad de terceros. Sobre nuestro propio recuento agregado, véase el apartado 17a. La app no utiliza cookies; almacena localmente en su dispositivo datos técnicamente necesarios, como su identificador de sesión y su configuración de idioma.
17a. Recuento del uso del sitio web
En kolibi.app contamos nosotros mismos con qué frecuencia se visitan las páginas y se usan las funciones: por ejemplo, el cálculo de una herramienta, un resultado compartido o guardado como imagen, una pregunta frecuente abierta, un nivel elegido en la página de inicio o un clic en el botón del App Store. No utilizamos servicios de terceros para ello.
Solo guardamos recuentos diarios: fecha, página, idioma de la página, país, origen de la visita como grupo general (por ejemplo, buscador, red social, asistente de IA, directo) y el tipo de evento. En las herramientas se añaden categorías agregadas, como el nivel en el test de nivel, el objetivo en la calculadora de proteínas o la variante de una tarjeta de mejores marcas. No se envían los valores introducidos, como peso, repeticiones o marcas personales.
Nuestro proveedor de alojamiento Vercel deduce el país de la dirección IP al solicitar la página (véase el apartado 17). No guardamos la dirección IP. No hay cookies, ningún almacenamiento en su navegador para este recuento, ningún identificador, ningún perfil y ningún vínculo con una cuenta de Kolibi. A partir de los recuentos no se pueden deducir visitas individuales.
Almacenamiento: Supabase, región de Fráncfort (UE). Finalidad: mejorar el sitio web y entender qué contenidos y herramientas resultan útiles. Base jurídica: art. 6.1.f) RGPD, en la medida en que se traten datos personales. Conservación: valores diarios 25 meses; después, solo totales mensuales.
Compartir resultados: El test de nivel y la calculadora de proteínas escriben sus datos en la dirección de la página para que pueda compartir el resultado como enlace. No enviamos esta dirección para el recuento. Usted comparte el enlace; no sabemos con quién.
Enlaces al App Store en las páginas de herramientas: En las páginas de herramientas, el enlace al App Store puede llevar parámetros de campaña (pt y ct, por ejemplo «ct=tool-protein-calculator»). Apple los usa para saber de qué herramienta procede una visita al App Store y solo nos muestra en App Store Connect cifras agregadas por campaña, como visitas y descargas. No recibimos datos sobre personas concretas. Apple es responsable del tratamiento en el App Store.
Selección guardada: el nivel elegido en la página de inicio se guarda localmente en su navegador (localStorage) para que se mantenga en la próxima visita. Solo se transmite como parte del recuento. Puede eliminarlo en cualquier momento a través de los ajustes de su navegador.
18. Plazos de conservación en resumen
Datos
Plazo
Datos de cuenta, perfil, salud, comidas y entrenamiento
hasta la eliminación de la cuenta
Cuentas anónimas sin actividad
30 días
Fotos de comidas en nuestros sistemas
no se almacenan
Fotos de ejercicios y foto de perfil
hasta que las elimine y, como máximo, hasta la eliminación de la cuenta
Valores de Apple Health almacenados
valor diario de las calorías quemadas activamente y valores de grasa corporal importados, hasta la eliminación de la cuenta
Fotos en el proveedor de servicios de IA
Google: sin almacenamiento en caché; en caso de uso del proveedor alternativo Anthropic, hasta 30 días
hasta la retirada del consentimiento o la eliminación de la cuenta
Mensajes de soporte
hasta su resolución y, como máximo, hasta la eliminación de la cuenta
Datos relevantes para la facturación
6 o 10 años, según las disposiciones mercantiles y tributarias
19. Estimación personalizada de raciones
A partir de sus correcciones de las cantidades estimadas deducimos qué tamaños de ración son habituales para usted y ajustamos a ellos las estimaciones futuras.
La estimación personalizada de raciones no constituye una decisión automatizada en el sentido del art. 22 RGPD, ya que no produce efectos jurídicos ni le afecta significativamente de modo similar. Se trata de un valor sugerido que puede modificar en cualquier momento antes de guardarlo.
Base jurídica: art. 6.1.b) RGPD en relación con el art. 9.2.a) RGPD.
20. Cesión a terceros
Aparte de los encargados del tratamiento mencionados en esta política, no cedemos sus datos. No vendemos datos, no realizamos publicidad, no elaboramos perfiles publicitarios y no ponemos sus datos a disposición de nadie para el entrenamiento de modelos de IA.
Solo se produce una cesión en la medida en que estemos legalmente obligados a ello o sea necesario para hacer valer nuestros derechos.
21. Sus derechos
Derecho de acceso (art. 15 RGPD): puede solicitar información sobre qué datos suyos tratamos, con qué finalidad, a quién los cedemos y durante cuánto tiempo los conservamos, así como obtener una copia de dichos datos.
Derecho de rectificación (art. 16 RGPD): puede solicitar la rectificación de los datos inexactos y que se completen los datos incompletos.
Derecho de supresión (art. 17 RGPD): puede solicitar la supresión de sus datos. Puede eliminar su cuenta usted mismo en la app en cualquier momento.
Derecho a la limitación del tratamiento (art. 18 RGPD): en determinadas condiciones, puede solicitar que solo almacenemos sus datos y no los sigamos tratando.
Derecho a la portabilidad de los datos (art. 20 RGPD): puede recibir los datos que nos haya facilitado en un formato estructurado, de uso común y de lectura mecánica.
Derecho de oposición (art. 21 RGPD): puede oponerse a los tratamientos que basamos en un interés legítimo, en particular a las estadísticas de uso.
Retirada del consentimiento (art. 7.3 RGPD): puede retirar en cualquier momento, con efectos para el futuro, los consentimientos otorgados. Ello no afecta a la licitud del tratamiento realizado hasta ese momento.
Reclamación (art. 77 RGPD): puede presentar una reclamación ante una autoridad de control en materia de protección de datos. La autoridad competente para nosotros es la Comisionada de Protección de Datos y Libertad de Información de Berlín:
Para ejercer estos derechos basta con un mensaje sin formalidades a support@52n34s.com. Responderemos dentro del plazo legal de un mes.
22. Seguridad de los datos
La transmisión entre la app, el sitio web y nuestros servidores se realiza siempre de forma cifrada (TLS). El acceso al contenido de la base de datos está restringido mediante reglas de acceso a nivel de fila, de modo que cada usuario solo puede acceder a sus propios datos. Las contraseñas se almacenan únicamente como valor hash criptográfico.
23. Menores de edad
El servicio está dirigido exclusivamente a personas mayores de 18 años. No recabamos a sabiendas datos de menores de edad. Si tenemos conocimiento de que una cuenta es utilizada por una persona menor de edad en contra de esta condición, eliminamos los datos correspondientes. Los titulares de la patria potestad o tutores legales pueden dirigirse en cualquier momento a support@52n34s.com a este respecto.
24. Contacto en materia de protección de datos
Para cualquier cuestión relativa a la protección de datos, diríjase a support@52n34s.com.
25. Modificaciones de esta política de privacidad
Adaptamos esta política cuando cambian el tratamiento o los requisitos legales. La versión vigente en cada momento está disponible en kolibi.app/privacy. Le informaremos de los cambios sustanciales en la app o por correo electrónico.
