Datenschutz
Diese Erklärung gilt für die iPhone-App sunday und für diese Website.
Verantwortlich
Pablo Guillen, Gürtelstraße 35, 10247 Berlin, Deutschland. E-Mail: hello@sundaywrapped.app. Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen.
Welche Daten wir verarbeiten
Kontodaten (Handynummer bzw. die E-Mail von Apple/Google, Login-Anbieter), Profil (Name, Handle, Avatar, Farbe, Kurzbio), Geburtsdatum (nur zur Altersprüfung, für niemanden sichtbar), deine Momente (Fotos, Videos, Bildunterschriften, Zeitpunkte, ausgewählte Orte, ausgewählte Songs), Kommentare, Reaktionen, Freundschaften, Einladungscodes, Streaks, Badges, Meldungen und Blockierungen sowie Push-Token für Benachrichtigungen. Beim Zugriff auf unsere Server fallen technisch bedingt IP-Adresse und Zeitpunkt an.
Fotos, Videos und Orte
Hochgeladen wird nur, was du selbst auswählst. Aus Fotos lesen wir Aufnahmezeit und – falls vorhanden und erlaubt – den Ort, um ihn dir vorzuschlagen. Um Orte in der Nähe (Cafés, Bars, Sehenswürdigkeiten …) vorzuschlagen, schickt die App die Koordinaten des Fotos bzw. deinen ungefähren Standort an Photon (komoot GmbH, Deutschland; Kartendaten von OpenStreetMap) und an Wikipedia (Wikimedia Foundation, USA) für Fotos der Orte; ohne Konto, ohne Bezug zu deiner Person. Um dir ein eigenes Foto für einen Ort vorzuschlagen, liest die App die Ortsdaten deiner Fotos nur auf deinem Gerät. Gespeichert wird nur der Ort, den du bestätigst – mit Name, Koordinaten und dem Foto, das du dafür auswählst (bzw. einem Wikipedia-Foto samt Urheberangabe). Wir speichern keinen Standortverlauf.
Kontakte
Nur wenn du „Kontakte durchsuchen“ antippst und den Zugriff erlaubst: Die App wandelt die Telefonnummern aus deinem Adressbuch auf deinem Gerät in Hash-Werte (SHA-256) um und schickt nur diese an unseren Server. Dort werden sie mit den Hash-Werten der bestätigten Login-Nummern verglichen; als Ergebnis siehst du, wer von deinen Kontakten bei sunday ist. Namen und Nummern deiner Kontakte verlassen dein Gerät nicht, und die übermittelten Hash-Werte werden nicht gespeichert. Einladungen per SMS verschickst du selbst über deine SMS-App. Ob andere dich über deine Nummer finden können, stellst du unter Einstellungen → Datenschutz & Sichtbarkeit ein.
Musik
Songs suchst du selbst aus. Für die Suche und Vorschau nutzen wir die öffentliche iTunes-Suche von Apple; dabei werden dein Suchbegriff und deine IP-Adresse an Apple übertragen. Ein Hörverlauf wird nicht ausgelesen.
Wer deine Inhalte sieht
Nur bestätigte Freunde – und auch die erst, wenn sie für dieselbe Woche selbst gepostet haben. Keine öffentlichen Profile, kein Algorithmus-Feed, keine Werbung, kein Tracking, keine Analyse-Tools.
Dienstleister
Hosting, Datenbank und Speicher: Supabase Inc. (Server in der EU, Frankfurt). SMS-Codes: Twilio Inc. (USA) – erhält deine Handynummer nur, um den Code zu verschicken. Push-Benachrichtigungen: Expo (650 Industries Inc., USA) sowie Apple und Google. Login: Apple bzw. Google, wenn du sie nutzt. Orte: komoot (Photon, Deutschland), Wikimedia Foundation (USA). Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung, soweit erforderlich. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln.
Diese Website
Diese Website (sundaywrapped.app) wird bei Netlify (Netlify, Inc., USA) gehostet. Beim Aufruf verarbeitet Netlify technisch notwendige Daten wie deine IP-Adresse, Datum, Uhrzeit und die aufgerufene Seite in Server-Logs, um die Seite auszuliefern und vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Mit Netlify besteht ein Vertrag zur Auftragsverarbeitung; Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln. Die Website setzt keine Cookies, nutzt keine Analyse- oder Tracking-Tools und lädt keine Inhalte von Dritten; auch die Schriften liegen auf diesem Server. Gespeichert wird im Browser nur deine Sprachwahl (DE/EN).
Speicherdauer
Deine Daten, auch Fotos und Videos, bleiben gespeichert, bis du sie, den Recap oder dein Konto löschst. Beim Löschen des Kontos werden alle Daten sofort entfernt. Meldungen heben wir auf, solange sie für die Prüfung nötig sind.
Rechtsgrundlagen
Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für den Betrieb der App. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Standort, Fotozugriff, Kamera, Kontakte und Push-Mitteilungen – jederzeit in den Systemeinstellungen widerrufbar. Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Sicherheit, Missbrauchsschutz und die Bearbeitung von Meldungen.
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Schreib uns dazu an hello@sundaywrapped.app. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit.
Privacy Policy
This policy covers the sunday iPhone app and this website.
Controller
Pablo Guillen, Gürtelstraße 35, 10247 Berlin, Germany. Email: hello@sundaywrapped.app. No data protection officer is appointed because the legal requirements for one are not met.
What we process
Account data (mobile number or the email from Apple/Google, login provider), profile (name, handle, avatar, colour, bio), date of birth (only for the age check, visible to nobody), your moments (photos, videos, captions, times, chosen places, chosen songs), comments, reactions, friendships, invite codes, streaks, badges, reports and blocks, and push tokens for notifications. When you connect to our servers, your IP address and the time are processed for technical reasons.
Photos, videos and places
Only what you pick gets uploaded. From photos we read the capture time and – if available and allowed – the location to suggest it to you. To suggest places nearby (cafés, bars, sights …), the app sends the photo’s coordinates or your approximate location to Photon (komoot GmbH, Germany; map data from OpenStreetMap) and to Wikipedia (Wikimedia Foundation, USA) for photos of places – without an account and not linked to you. To suggest your own photo for a place, the app reads your photos’ location data on your device only. Only the place you confirm is stored – its name, coordinates and the photo you choose for it (or a Wikipedia photo with its credit). We don’t store a location history.
Contacts
Only if you tap “Search contacts” and allow access: the app turns the phone numbers in your address book into hash values (SHA-256) on your device and sends only those to our server. There they are compared with the hashes of confirmed sign-in numbers, and you see which of your contacts are on sunday. Your contacts’ names and numbers never leave your device, and the hashes sent are not stored. SMS invites are sent by you through your own messaging app. Whether others can find you by your number is up to you under Settings → Privacy & visibility.
Music
You choose songs yourself. Search and previews use Apple’s public iTunes Search; your search term and IP address are sent to Apple. No listening history is read.
Who sees your content
Only confirmed friends – and only once they’ve posted for the same week. No public profiles, no algorithmic feed, no ads, no tracking, no analytics tools.
Service providers
Hosting, database and storage: Supabase Inc. (servers in the EU, Frankfurt). SMS codes: Twilio Inc. (USA) – receives your mobile number only to send the code. Push notifications: Expo (650 Industries Inc., USA), Apple and Google. Login: Apple or Google, if you use them. Places: komoot (Photon, Germany), Wikimedia Foundation (USA). Where required, data processing agreements are in place with all providers. Transfers to the USA rely on the EU-US Data Privacy Framework or EU Standard Contractual Clauses.
Retention
Your data, including photos and videos, is kept until you delete it, the recap, or your account. Deleting your account removes all data immediately. Reports are kept as long as needed to review them.
Legal bases
Contract performance (Art. 6(1)(b) GDPR) for running the app. Consent (Art. 6(1)(a) GDPR) for location, photo access, camera, contacts and push notifications – revocable any time in your system settings. Legitimate interest (Art. 6(1)(f) GDPR) for security, abuse prevention and handling reports.
Your rights
You have the right to access, rectification, erasure, restriction of processing, data portability and objection. Write to us at hello@sundaywrapped.app. You can also lodge a complaint with a data protection supervisory authority, e.g. the Berlin Commissioner for Data Protection and Freedom of Information.