Kassora — Datenschutzerklärung
Diese Erklärung sagt in einfachen Worten, was mit Ihren Daten geschieht, wenn Sie Kassora benutzen. Private Kassen verlassen Ihr Gerät nie. Nur wenn Sie eine Kasse ausdrücklich teilen oder einer geteilten Kasse beitreten, gehen die Daten dieser einen Kasse auf einen Server — damit alle im Team dieselben Buchungen sehen.
Private Kassen
Eine Kasse, die Sie nicht teilen — mit ihren Buchungen, Zählungen und Ihrem Namen — liegt ausschliesslich auf Ihrem Gerät, in einer lokalen Datenbank im App-Container. Dafür braucht es kein Konto.
In den Einstellungen können Sie eine private Kasse als Datei sichern. Die Datei geht über das Teilen-Blatt von iOS dorthin, wohin Sie sie schicken; Kassora selbst bekommt sie nie.
Konto
Zum Teilen braucht es ein Konto. Sie melden sich mit «Mit Apple anmelden» an. Kassora speichert dabei die Kennung, die Apple für Kassora vergibt, und den Namen, den Sie in Kassora angeben. Ihre E-Mail-Adresse und Ihr Apple-Passwort sieht Kassora nicht.
Geteilte Kassen
Von einer geteilten Kasse liegen auf dem Server: Name und Währung der Kasse, die Buchungen (Betrag, Datum, Text, Kategorie, wer sie erfasst hat), die Zählungen und wer im Team welche Rolle hat. Sehen können das nur die Mitglieder dieser Kasse. Der Server steht bei Supabase in Irland (EU). Die Adresse des Servers liefert ein kleiner Dienst bei Cloudflare. Wer aus einem Team entfernt wird, behält die Kopie auf seinem Gerät, bekommt aber keine neuen Buchungen mehr und kann nichts mehr ändern.
Sicherung
Von den geteilten Kassen entsteht jede Nacht eine Sicherungskopie bei Cloudflare in der EU. Die tägliche Kopie enthält auch, wer im Team ist (Name und Rolle), und die Konten – die Kennung, die Apple für Kassora vergibt, keine E-Mail-Adresse. Sie wird nach 40 Tagen gelöscht.
Einmal im Monat bleibt eine Kopie nur mit den Kassendaten – Buchungen, Zählungen und die Namen darin – bis zu 10 Jahre aufbewahrt, damit ein Verein seine Kassenbücher über die gesetzliche Aufbewahrungsfrist wiederherstellen kann. Diese Kopie enthält keine Konten. Eine Kasse, die später gelöscht wird, bleibt in den schon bestehenden Monatskopien enthalten, bis diese ablaufen.
Netzverbindung
Solange Sie keine Kasse teilen, baut Kassora keine Netzverbindung auf. Für geteilte Kassen gleicht die App beim Öffnen und nach jeder Buchung mit dem Server ab. Kassora enthält weiterhin keine Analyse-, Werbe- oder Absturzberichtsbibliothek — das ist an der Abhängigkeitsliste des App-Bündels nachgemessen, nicht nur versprochen.
Berechtigungen
Kassora fragt nach Face ID, um die App zu entsperren. Die Prüfung macht das iPhone selbst; Kassora bekommt nur «ja» oder «nein» und nie Ihre Gesichtsdaten. Weitere Berechtigungen — Kamera, Fotos, Standort, Kontakte, Mikrofon, Mitteilungen — fordert Kassora nicht an.
Export und Weitergabe
Wenn Sie selbst auf «Export» oder auf das Teilen-Zeichen tippen, übergibt die App die Datei oder den Text an das System-Teilen-Blatt von iOS. Wohin es dann geht, bestimmen allein Sie. Die App selbst sieht das Ziel nicht und weiss nicht, was danach damit geschieht.
Schriften
Die Schriften liegen im App-Bündel. Es wird nichts nachgeladen.
Löschen
Wer die App löscht, löscht alle privaten Kassen. In den Einstellungen löschen Sie Ihr Konto. Es wird sofort gelöscht, und die Anmeldung mit Apple wird widerrufen. Geteilte Kassen, in denen Sie allein sind, verschwinden für alle; sie werden noch 90 Tage aufbewahrt, damit sie sich bei einem Versehen über die Kontaktadresse unten zurückholen lassen, und danach endgültig gelöscht. In den täglichen Sicherungskopien bleiben Ihre Kontodaten und solche Kassen höchstens 40 weitere Tage, in den schon bestehenden Monatskopien die Kassendaten (siehe «Sicherung»). Kassen, die Sie mit anderen teilen, bleiben für diese bestehen; Ihr Name bleibt an den Buchungen stehen, die Sie erfasst haben. Private Kassen auf Ihrem Gerät bleiben, bis Sie die App löschen.
Dienstleister
Supabase Inc. (Datenbank, Server in Irland), Cloudflare Inc. (Adresse des Servers, Widerruf der Apple-Anmeldung, nächtliche Sicherung in der EU), Apple (Anmeldung).
Kinder
Kassora richtet sich nicht an Kinder und erfasst von niemandem Daten, auch nicht von Kindern.
DSGVO und Schweizer DSG
Private Kassen verlassen Ihr Gerät nie; mit ihnen verarbeitet der Entwickler keine Personendaten. Für geteilte Kassen ist der Entwickler verantwortlich, Andreas Schori, erreichbar unter privacy@seelandwind.com.
Die Daten werden verarbeitet, damit das Team die Kasse gemeinsam führen kann (Art. 6 Abs. 1 lit. b DSGVO). Sie können Auskunft, Berichtigung, Löschung und die Herausgabe Ihrer Daten verlangen und sich bei einer Aufsichtsbehörde beschweren. Vieles davon geht direkt in der App: «Konto löschen» in den Einstellungen, der Export als CSV.
Kontakt
Fragen zu dieser Erklärung gehen über GitHub-Issues: https://github.com/SilasCH/kassora/issues — oder per E-Mail an privacy@seelandwind.com.
Änderungen
Ändert sich, wie Kassora mit Daten umgeht, wird diese Erklärung angepasst und das Datum oben aktualisiert.
Kassora — Privacy Policy
This policy states plainly what happens to your data when you use Kassora. Private cash boxes never leave your device. Only when you explicitly share a cash box or join a shared one does the data of that one cash box go to a server — so that everyone in the team sees the same entries.
Private cash boxes
A cash box you do not share — with its entries, counts and your name — stays exclusively on your device, in a local database inside the app container. No account is needed for it.
In Settings you can back up a private cash box as a file. The file goes through the iOS share sheet to wherever you send it; Kassora itself never receives it.
Account
Sharing requires an account. You sign in with “Sign in with Apple”. Kassora stores the identifier Apple assigns to Kassora and the name you enter in Kassora. Kassora does not see your email address or your Apple password.
Shared cash boxes
For a shared cash box, the server holds: the name and currency of the cash box, the entries (amount, date, text, category, who recorded them), the counts, and which role each team member has. Only the members of that cash box can see this. The server is run by Supabase in Ireland (EU). A small service at Cloudflare supplies the server's address. Anyone removed from a team keeps the copy on their device but receives no new entries and can no longer change anything.
Backup
Every night a backup copy of the shared cash boxes is made at Cloudflare in the EU. The daily copy also contains who is in the team (name and role) and the accounts – the identifier Apple assigns to Kassora, no email address. It is deleted after 40 days.
Once a month a copy with only the cash box data – entries, counts and the names in them – is kept for up to 10 years, so that a club can restore its cash books over the statutory retention period. This copy contains no accounts. A cash box deleted later remains in the monthly copies that already exist until they expire.
Network connection
As long as you do not share a cash box, Kassora opens no network connection. For shared cash boxes the app synchronises with the server when it opens and after every entry. Kassora still contains no analytics, advertising or crash-reporting library — this has been measured against the app bundle's dependency list, not merely promised.
Permissions
Kassora asks for Face ID to unlock the app. The iPhone performs the check itself; Kassora only receives “yes” or “no” and never your facial data. Kassora requests no other permissions — camera, photos, location, contacts, microphone, notifications.
Export and passing on
When you tap “Export” or the share symbol yourself, the app hands the file or text to iOS's own share sheet. Where it goes from there is entirely up to you. The app itself does not see the destination and does not know what happens to it afterwards.
Fonts
Fonts are bundled with the app. Nothing is loaded afterwards.
Deletion
Deleting the app deletes all private cash boxes. You delete your account in Settings. It is deleted at once and your Sign in with Apple authorisation is revoked. Shared cash boxes in which you are the only member disappear for everyone; they are kept for 90 more days so that they can be restored after a mistake via the contact address below, and are then deleted for good. Your account data and such cash boxes remain in the daily backup copies for at most 40 more days, and the cash box data in the monthly copies that already exist (see “Backup”). Cash boxes you share with others remain for them; your name stays on the entries you recorded. Private cash boxes on your device remain until you delete the app.
Service providers
Supabase Inc. (database, server in Ireland), Cloudflare Inc. (server address, revoking the Apple sign-in, nightly backup in the EU), Apple (sign-in).
Children
Kassora is not directed at children and collects no data from anyone, including children.
GDPR and the Swiss FADP
Private cash boxes never leave your device; the developer processes no personal data from them. The controller for shared cash boxes is the developer, Andreas Schori, reachable at privacy@seelandwind.com.
The data are processed so that the team can run the cash box together (Art. 6(1)(b) GDPR). You can request access to, correction, deletion and a copy of your data, and you can lodge a complaint with a supervisory authority. Much of this works directly in the app: “Delete account” in Settings, and the CSV export.
Contact
Questions about this policy are handled through GitHub issues: https://github.com/SilasCH/kassora/issues — or by email to privacy@seelandwind.com.
Changes
If the way Kassora handles data changes, this policy will be updated and the date above revised.