Schahin Taheri Sanjani, Wiesendamm 156, 22303 Hamburg, Deutschland. E-Mail: support@isshio.com, Kontaktformular in der App unter Einstellungen → Nachricht schreiben. Isshio ist ein kostenloses, privat betriebenes Projekt.
Was online gespeichert wird
Deine Gruppen, Personen und Einträge werden auf deinem Gerät mit AES-256 verschlüsselt und erst dann gesendet. Wir speichern nur einen unlesbaren Block, eine abgeleitete Kennung, Prüfwerte für die Rechte zum Ändern und Löschen, eine Versionsnummer und Zeitpunkte, darunter den des letzten Zugriffs. Grundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App).
Interne Statistik
Einmal täglich zählt unser Server aus diesen Zeitpunkten nur Summen: wie viele Gruppen es gibt, wie viele in den letzten 7 und 30 Tagen genutzt wurden und wie viele neu angelegt oder gelöscht wurden. Darin steht nichts zu einzelnen Gruppen, Personen oder Geräten. Die Summen sehen nur wir; wir nutzen sie, um den Betrieb und die Weiterentwicklung der App zu planen. Grundlage: Art. 6 Abs. 1 lit. f DSGVO.
Der Code ist der Schlüssel
Der Gruppencode wird nie an uns gesendet, auch nicht beim Öffnen eines Einladungslinks: Dort steht er hinter dem Zeichen #, und diesen Teil übertragen Browser nicht an den Server. Wer den Code oder den Link hat, kann die Gruppe lesen und ändern. Ohne Code können wir die Daten weder lesen noch wiederherstellen.
Verlauf der Gruppe
Jede Gruppe führt einen Verlauf: wer wann einen Eintrag oder eine Einstellung angelegt, geändert oder gelöscht hat, bei Änderungen mit altem und neuem Wert. Als „wer“ gilt die Person, die auf dem jeweiligen Gerät unter „Das bin ich“ gewählt ist; das wird nicht geprüft. Der Verlauf ist wie die übrigen Gruppendaten Ende-zu-Ende verschlüsselt und für alle sichtbar, die den Code haben, aber nicht für uns. Er umfasst höchstens die letzten 12 Monate und 1.000 Änderungen, Älteres fällt weg; mit der Gruppe wird auch der Verlauf gelöscht. Er ist nicht Teil des Exports. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.
Keine Konten, kein Tracking
Es gibt keine Anmeldung, keine Werbung, keine Analyse- oder Werbe-Tracker und keine Cookies. Wir führen keine Zugriffs- oder Inhaltsprotokolle; die Protokolle unseres Servers sind ausgeschaltet. Was wir zum Schutz vor Missbrauch kurz zählen, steht unter „Schutz vor Code-Raten“.
Hosting bei Cloudflare
Die App läuft bei Cloudflare (Workers, D1). Der Code läuft auf Cloudflares weltweitem Netz, die Datenbank liegt in der EU. Bei jedem Aufruf verarbeitet Cloudflare technisch deine IP-Adresse und Verbindungsdaten wie Zeitpunkt, aufgerufene Adresse und Browserkennung, um die App auszuliefern und vor Angriffen zu schützen, etwa durch eine Grenze für zu viele Anfragen in kurzer Zeit. Cloudflare ist unser Auftragsverarbeiter; für Übermittlungen in die USA gelten das EU-US Data Privacy Framework und Standardvertragsklauseln. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).
Wechselkurse
Wählst du in einer Gruppe „Umrechnung anzeigen in“, fragt die App unseren Server nach den Wechselkursen der Tage, an denen es Einträge gibt, und von heute. Erfasst du einen Eintrag in einer anderen Währung als der Gruppenwährung, fragt sie nach den Kursen vom Datum dieses Eintrags. Importierst du eine Datei mit mehreren Währungen ohne eigene Umrechnung, fragt sie je Währung nach den Kursen vom Datum ihres letzten Eintrags. Gesendet wird nur ein Datum, nie Gruppe, Währung oder Betrag; die Antwort enthält immer die Kurse aller Währungen. Unser Server holt fehlende Tage bei Frankfurter (api.frankfurter.dev, ein freier Dienst mit Referenzkursen von Zentralbanken) und sendet dabei ebenfalls nur das Datum, keine Daten von dir und nicht deine IP-Adresse. Die Kurse speichern wir ohne Bezug zu Gruppen oder Personen. Die gewählte Währung und bei Einträgen in einer anderen Währung deren Betrag sind verschlüsselt Teil der Gruppe. Grundlage: Art. 6 Abs. 1 lit. b DSGVO.
Benachrichtigungen
Benachrichtigungen sind aus, bis du sie in den Einstellungen einschaltest; erst dann fragt dein Browser bzw. Android um Erlaubnis. Beim Einschalten erzeugt dein Browser bzw. die Android-App eine Push-Adresse mit zwei Schlüsseln. Wir speichern sie zusammen mit den Kennungen deiner Gruppen, der zufälligen Kennung der Person, die du dort unter „Das bin ich“ gewählt hast (kein Name), und dem Zeitpunkt der letzten Anmeldung. Trägt jemand anderes in einer dieser Gruppen etwas ein oder ändert oder löscht etwas, schickt unser Server an diese Adresse einen verschlüsselten Weckruf, der nur die Kennung der Gruppe und die Zahl der Änderungen enthält; Namen, Beträge oder andere Inhalte erfahren wir dabei nicht. Den Text der Mitteilung baut dein Gerät aus seinen eigenen Daten und legt dafür die Namen deiner Gruppen zusätzlich im Speicher des Browsers bzw. der App ab. Zugestellt wird der Weckruf vom Push-Dienst, den der Hersteller deines Browsers als eigener Verantwortlicher betreibt, auch in den USA: Google (Chrome, Samsung Internet und andere Chromium-Browser), Mozilla (Firefox), Microsoft (Edge) oder Apple (Safari); in der Android-App ist es Google über die Google-Play-Dienste deines Geräts. Der Push-Dienst kann den Weckruf nicht lesen, sieht aber, wann dein Gerät einen bekommt. Weil eine Push-Adresse für alle Gruppen eines Geräts gilt, könnten wir daran erkennen, welche Gruppen auf demselben Gerät liegen; ohne Benachrichtigungen geht das nicht. Wir löschen die Anmeldung einer Gruppe, wenn du sie verlässt, ihren Schalter ausschaltest oder sie gelöscht wird, alle Anmeldungen beim Ausschalten oder wenn der Push-Dienst die Adresse als ungültig meldet, und jede spätestens 60 Tage nach ihrer letzten Erneuerung; solange du die App öffnest, erneuert dein Gerät sie etwa wöchentlich. Die Anmeldungen sind nicht Teil unserer Sicherungskopien bei GitHub, bleiben aber bis zu 7 Tage in den Wiederherstellungspunkten von Cloudflare. Grundlage: Art. 6 Abs. 1 lit. b DSGVO; was dafür auf deinem Gerät liegt, ist für diese von dir gewünschte Funktion nötig (§ 25 Abs. 2 Nr. 2 TDDDG).
Schutz vor Code-Raten
Bei Fehlversuchen, beim Anlegen neuer Gruppen und beim Senden von Nachrichten über das Kontaktformular zählen wir die Versuche je Netz. Dafür berechnen wir aus deiner IP-Adresse (bei IPv6 aus deinem Netz) mit einem geheimen Schlüssel, den nur wir kennen, einen gekürzten Prüfwert. Er ist pseudonym: Ohne den Schlüssel lässt er sich nicht auf deine Adresse zurückrechnen. Wir löschen ihn nach spätestens 2 Stunden aus dem Online-Speicher; in den Wiederherstellungspunkten von Cloudflare (siehe „Sicherungskopien“) bleibt er bis zu 7 Tage. So schützen wir Gruppen vor dem Erraten von Codes und den Dienst vor Missbrauch. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Art. 32 DSGVO).
Auf deinem Gerät
Eine Kopie deiner Gruppen und deine Einstellungen (Sprache, Darstellung, eigene Codes) liegen im lokalen Speicher deines Browsers bzw. der App. Im Browser hält ein Service Worker die App offline bereit; in der Android-App liegen ihre Dateien in der App selbst. Das ist dafür nötig, deshalb brauchst du keine Zustimmung (§ 25 Abs. 2 Nr. 2 TDDDG). Geholte Wechselkurse merkt sich dein Gerät, damit sie auch offline gelten. Ein Gruppenbild und ein Bildstreifen, die du in den Einstellungen einer Gruppe wählst, liegen nur auf deinem Gerät; sie werden nicht gesendet und sind nicht Teil von Abgleich, Export oder Codes-Sicherung. Was du ins Titelfeld einer Ausgabe schreibst oder diktierst, wertet die Schnellerfassung nur auf deinem Gerät aus; dafür wird nichts gesendet. Diktierst du über die Tastatur deines Geräts, verarbeitet deren Anbieter die Sprache nach seinen eigenen Bestimmungen; darauf haben wir keinen Einfluss. Diese Daten bleiben auf deinem Gerät, bis du die Gruppe aus deiner Liste entfernst, die Daten des Browsers bzw. der App löschst oder die App deinstallierst. Die Android-App nimmt sie nicht in die Google-Sicherung deines Geräts auf, damit deine Codes nicht in deinem Google-Konto landen; auf ein neues Gerät kommen sie über „Codes sichern“. Browser und App haben getrennte Speicher, auch auf demselben Gerät. Sichere deine Codes, bevor du Browserdaten löschst oder die App deinstallierst.
Namen anderer
In einer Gruppe stehen auch Namen und Ausgaben anderer Personen. Sie sind wie alle Gruppendaten Ende-zu-Ende verschlüsselt; wir können sie nicht lesen und keiner Person zuordnen und deshalb niemanden einzeln informieren (Art. 11 und Art. 14 Abs. 5 lit. b DSGVO). Diese Hinweise gelten auch für sie; ihre Rechte können sie mit dem Gruppencode ausüben. Trag nur Namen ein, die die Gruppe braucht; ein Vorname oder Spitzname genügt.
Export, Import, Codes sichern, Einladen
Export (PDF, Excel, CSV), das Bild des Rückblicks, Import, die Sicherung deiner Codes und Einladungen laufen nur auf deinem Gerät und werden nicht an uns gesendet. Wohin du sie teilst oder speicherst, entscheidest du. In der Android-App legt „Speichern“ die Datei im Ordner „Downloads“ deines Geräts ab; dort bleibt sie auch, wenn du die App deinstallierst.
Android-App und Google Play
Die Android-App bekommst du über Google Play (Google Ireland Limited). Für Suche, Download, Updates und Bewertungen verarbeitet Google Daten wie dein Google-Konto und dein Gerät als eigener Verantwortlicher nach seinen Datenschutzbestimmungen, auch in den USA (Data Privacy Framework). Uns zeigt Google in der Play Console nur zusammengefasste Zahlen, etwa zu Installationen, Bewertungen und Abstürzen. Absturzberichte kommen nur von Geräten, auf denen das Senden von Nutzungs- und Diagnosedaten an Google erlaubt ist; sie enthalten technische Angaben wie Gerätemodell, Android-Version und die Stelle des Fehlers, aber keine Gruppendaten. Bewertungen und unsere Antworten darauf sind in Google Play öffentlich. In die App selbst haben wir keine Dienste von Google oder anderen Anbietern eingebaut, außer der Zustellung von Benachrichtigungen über die Google-Play-Dienste, wenn du sie einschaltest (siehe „Benachrichtigungen“); die Anzeige-Komponente von Android (WebView) sendet aus Isshio keine Nutzungsdaten an Google. Die App fragt nur die Berechtigung „Internet“ an und, wenn du Benachrichtigungen einschaltest, die Erlaubnis für Mitteilungen; damit ein Weckruf auch bei ruhendem Gerät ankommt, darf sie das Gerät dafür kurz wach halten (Android gewährt das ohne Rückfrage). Auf der Webseite und in den Einstellungen verlinkt Isshio auf seine Seite in Google Play; erst beim Tippen verlässt du Isshio und kommst zu Google. Damit Android Links zur Startseite von isshio.com, etwa eine Einladung, in der installierten App öffnet statt im Browser, liegt auf isshio.com eine öffentliche Datei mit dem Paketnamen und dem Fingerabdruck der App; sie enthält keine persönlichen Daten. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (App anbieten und Fehler beheben).
Löschen und Speicherdauer
„Gruppe verlassen“ entfernt sie nur aus deiner Liste. Das Gerät, das eine Gruppe erstellt hat, kann sie für alle löschen, ebenso ein Gerät, in das du dessen gesicherte Codes eingelesen hast (sie enthalten dann den Lösch-Schlüssel); sie ist dann 30 Tage wiederherstellbar und wird danach aus dem Online-Speicher endgültig entfernt. Wird eine Gruppe 24 Monate lang auf keinem Gerät geöffnet oder abgeglichen, löschen wir sie automatisch; dann kann jedes Mitglied sie 30 Tage lang wiederherstellen, danach wird sie endgültig entfernt. Dafür merken wir uns zu jeder Gruppe den Zeitpunkt des letzten Zugriffs, höchstens einmal pro Tag aktualisiert, ohne Bezug zu Gerät oder Person. Wer die Daten behalten will, kann die Gruppe jederzeit exportieren, auch nach dem Löschen. Fehlt eine Gruppe online, ohne dass dein Gerät eine Löschung gesehen hat (etwa nach einem Datenverlust oder weil es lange offline war), kannst du deine Kopie mit „Von diesem Gerät wieder online stellen“ erneut hochladen; sie ist dann wie eine neu angelegte Gruppe gespeichert. Das Löschen betrifft unsere Speicher. Kopien auf den Geräten der Mitglieder und Exporte bleiben, bis sie dort entfernt werden, so wie eine gelöschte E-Mail beim Empfänger bleibt.
Sicherungskopien
Damit Gruppen nach einem Fehler oder Angriff wiederhergestellt werden können, kopieren wir den Online-Speicher einmal täglich in unser privates Repository bei GitHub (GitHub, Inc., USA). Die Kopie enthält nur, was auch online liegt: die verschlüsselten Blöcke, abgeleitete Kennungen, Prüfwerte, Versionsnummern und Zeitpunkte, aber keine Werte aus IP-Adressen. Wir bewahren jede Kopie 30 Tage auf. Zusätzlich hält Cloudflare 7 Tage lang Wiederherstellungspunkte der Datenbank. Eine gelöschte Gruppe ist zunächst 30 Tage wiederherstellbar und liegt danach noch bis zu 30 Tage in den Sicherungskopien; sie ist deshalb spätestens etwa 60 Tage nach dem Löschen aus allen unseren Speichern entfernt. Für Übermittlungen in die USA gilt das EU-US Data Privacy Framework. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (Verfügbarkeit und Wiederherstellbarkeit, Art. 32 Abs. 1 lit. c DSGVO).
Deine Rechte
Du hast Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15–20 DSGVO). Gruppendaten können wir nicht lesen und keiner Person zuordnen, deshalb erfüllen wir diese Rechte für sie nur, wenn du uns den Gruppencode schickst (Art. 11 Abs. 2 DSGVO); wir nutzen ihn nur dafür und löschen ihn danach. Zu deinen E-Mails und Nachrichten an uns genügt eine E-Mail ohne Code. In der App kannst du alles auch selbst ansehen, ändern und löschen.
Widerspruch
Beruht eine Verarbeitung auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO), kannst du ihr aus Gründen deiner besonderen Situation jederzeit widersprechen (Art. 21 DSGVO). Schreib uns dazu eine E-Mail.
Beschwerde
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, zum Beispiel bei der für unseren Wohnsitz zuständigen: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, datenschutz-hamburg.de.
Pflicht zur Angabe, automatische Entscheidungen
Du musst keine Daten angeben; ohne Gruppendaten und IP-Verarbeitung können wir die App aber nicht anbieten. Automatisierte Entscheidungen oder Profiling gibt es nicht.
Kontakt per E-Mail
Wenn du schreibst, verarbeiten wir deine Adresse und Nachricht, um deine Anfrage zu bearbeiten und zu beantworten. Mails an support@isshio.com leitet Cloudflare (Cloudflare Email Routing) an unser Gmail-Postfach weiter; Cloudflare verarbeitet sie dabei als unser Auftragsverarbeiter (siehe „Hosting bei Cloudflare“) und speichert den Inhalt nicht. Die Mails liegen bei Google (Gmail, Google Ireland Limited), das dabei als eigener Verantwortlicher nach seinen Datenschutzbestimmungen handelt und Daten auch in den USA verarbeiten kann (Data Privacy Framework). Wir löschen sie nach Abschluss deiner Anfrage, spätestens nach 12 Monaten. Grundlage: Art. 6 Abs. 1 lit. b DSGVO bei Fragen zur Nutzung der App, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten und Fehler zu beheben).
Kontaktformular
Wenn du uns über das Formular in der App schreibst, übertragen wir deine Nachricht, die freiwillige E-Mail-Adresse für die Antwort sowie die App-Version und die Sprache an unseren Server. Er leitet sie als E-Mail an unser Gmail-Postfach weiter (Google, siehe „Kontakt per E-Mail“); bei Cloudflare wird die Nachricht nicht gespeichert. Zweck ist, deine Nachricht zu bearbeiten und dir zu antworten, wenn du eine Adresse angibst; ohne Adresse können wir nicht antworten. Wir löschen die Nachricht nach Abschluss deiner Anfrage, spätestens nach 12 Monaten. Grundlage: Art. 6 Abs. 1 lit. b DSGVO bei Fragen zur Nutzung der App, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Anfragen zu beantworten und Fehler zu beheben). Die Nachricht ist auf dem Weg per HTTPS verschlüsselt, aber anders als deine Gruppen nicht Ende-zu-Ende verschlüsselt. Bitte schreib keine Gruppen-Codes hinein. Zum Schutz vor Missbrauch zählen wir die gesendeten Nachrichten je Netz (siehe „Schutz vor Code-Raten“).
Stand: 09.11.2026
Privacy
Translation of the German version; in case of discrepancies, the German version prevails.
Controller
Schahin Taheri Sanjani, Wiesendamm 156, 22303 Hamburg, Germany. Email: support@isshio.com, contact form in the app under Settings → Write a message. Isshio is a free project run privately.
What is stored online
Your groups, people and entries are encrypted on your device with AES-256 before they are sent. We store only an unreadable block, a derived identifier, check values for the rights to edit and delete, a version number and timestamps, including the time of last access. Legal basis: Art. 6(1)(b) GDPR (providing the app).
Internal statistics
Once a day, our server uses these timestamps to count totals only: how many groups there are, how many were used in the last 7 and 30 days, and how many were created or deleted. They contain nothing about individual groups, people or devices. Only we see these totals; we use them to plan the operation and further development of the app. Legal basis: Art. 6(1)(f) GDPR.
Your code is the key
Your group code is never sent to us, not even when an invitation link is opened: there it comes after the # sign, and browsers do not send that part to the server. Anyone who has the code or the link can read and edit the group. Without the code, we can neither read nor restore the data.
Group history
Each group keeps a history: who added, changed or deleted an entry or a setting and when, with the old and new value for changes. “Who” is the person chosen under “This is me” on that device; this is not verified. Like the rest of the group data, the history is end-to-end encrypted and visible to everyone who has the code, but not to us. It covers at most the last 12 months and 1,000 changes; older items are dropped, and the history is deleted together with the group. It is not part of the export. Legal basis: Art. 6(1)(b) GDPR.
No accounts, no tracking
There is no sign-in, no ads, no analytics or advertising trackers and no cookies. We keep no access or content logs; our server’s logs are switched off. What we briefly count to prevent abuse is described under “Protection against code guessing”.
Hosting at Cloudflare
The app runs on Cloudflare (Workers, D1). The code runs on Cloudflare's global network, the database is located in the EU. With every request, Cloudflare technically processes your IP address and connection data such as the time, the requested address and the browser identifier, in order to deliver the app and protect it from attacks, for example with a limit on too many requests in a short time. Cloudflare is our processor; transfers to the USA rely on the EU-US Data Privacy Framework and standard contractual clauses. Legal basis: Art. 6(1)(f) GDPR (secure operation).
Exchange rates
If you choose “Also show amounts in” for a group, the app asks our server for the exchange rates of the days that have entries, and of today. If you add an entry in a currency other than the group currency, it asks for the rates of that entry’s date. If you import a file with several currencies and no conversion of its own, it asks, for each currency, for the rates of the date of its last entry. Only a date is sent, never the group, currency or amount; the answer always contains the rates of all currencies. Our server fetches missing days from Frankfurter (api.frankfurter.dev, a free service with central bank reference rates) and likewise sends only the date, no data about you and not your IP address. We store the rates without any link to groups or people. The chosen currency and, for entries in another currency, their amount are part of the encrypted group. Legal basis: Art. 6(1)(b) GDPR.
Notifications
Notifications are off until you turn them on in the settings; only then does your browser or Android ask for permission. When you turn them on, your browser or the Android app creates a push address with two keys. We store it together with the identifiers of your groups, the random identifier of the person you chose there under “This is me” (not a name), and the time of the last sign-up. If someone else adds, changes or deletes something in one of these groups, our server sends an encrypted wake-up call to this address that contains only the group’s identifier and the number of changes; we learn no names, amounts or other content. Your device builds the text of the notification from its own data and for this also keeps the names of your groups in the storage of the browser or the app. The wake-up call is delivered by the push service that the maker of your browser runs as an independent controller, also in the USA: Google (Chrome, Samsung Internet and other Chromium browsers), Mozilla (Firefox), Microsoft (Edge) or Apple (Safari); in the Android app it is Google, through the Google Play services on your device. The push service cannot read the wake-up call, but sees when your device receives one. Because one push address applies to all groups on a device, we could tell from it which groups are on the same device; without notifications this is not possible. We delete a group’s sign-up when you leave the group, turn off its switch or the group is deleted, all sign-ups when you turn notifications off or the push service reports the address as invalid, and each one no later than 60 days after it was last renewed; as long as you open the app, your device renews them about once a week. The sign-ups are not part of our backup copies on GitHub but remain for up to 7 days in Cloudflare’s restore points. Legal basis: Art. 6(1)(b) GDPR; what is kept on your device for this is needed for this feature you asked for (Section 25(2) no. 2 TDDDG, German law).
Protection against code guessing
After failed attempts, when new groups are created and when messages are sent through the contact form, we count the attempts per network. For this we use a secret key that only we know to calculate a shortened check value from your IP address (for IPv6, from your network). It is pseudonymous: without the key it cannot be traced back to your address. We delete it from the online storage after 2 hours at most; in Cloudflare’s restore points (see “Backups”) it remains for up to 7 days. This protects groups from code guessing and the service from abuse. Legal basis: Art. 6(1)(f) GDPR (security, Art. 32 GDPR).
On your device
A copy of your groups and your settings (language, appearance, own codes) is kept in your browser's or app's local storage. In the browser, a service worker keeps the app available offline; in the Android app, its files are part of the app itself. This is needed for that, so no consent is required (Section 25(2) no. 2 TDDDG, German law). Exchange rates that were fetched are kept on your device so they also work offline. A group picture and a banner you choose in a group's settings stay on your device only; they are not sent and are not part of sync, export or code backup. What you type or dictate into the title field of an expense is processed by quick entry on your device only; nothing is sent for it. If you dictate using your device’s keyboard, the keyboard’s provider processes your speech under its own terms; we have no influence on that. This data stays on your device until you remove the group from your list, clear the browser’s or app’s data or uninstall the app. The Android app keeps it out of your device’s Google backup so that your codes do not end up in your Google account; to move them to a new device, use “Back up codes”. The browser and the app have separate storage, even on the same device. Back up your codes before you clear browser data or uninstall the app.
Other people's names
A group also contains names and expenses of other people. Like all group data they are end-to-end encrypted; we cannot read them or link them to a person and therefore cannot inform anyone individually (Art. 11 and Art. 14(5)(b) GDPR). This notice also applies to them; they can exercise their rights with the group code. Only enter names that the group needs; a first name or nickname is enough.
Export, import, code backup, invitations
Export (PDF, Excel, CSV), the look-back image, import, code backup and invitations happen on your device only and are not sent to us. You decide where to share or save them. In the Android app, “Save” puts the file in your device’s “Downloads” folder; it stays there even if you uninstall the app.
Android app and Google Play
You get the Android app through Google Play (Google Ireland Limited). For search, download, updates and reviews, Google processes data such as your Google account and your device as an independent controller under its own privacy policy, also in the USA (Data Privacy Framework). In the Play Console, Google only shows us aggregated figures, for example on installs, ratings and crashes. Crash reports only come from devices on which sending usage and diagnostics data to Google is allowed; they contain technical details such as device model, Android version and where the error occurred, but no group data. Reviews and our replies to them are public on Google Play. We have not built any services from Google or other providers into the app itself, except for delivering notifications through the Google Play services if you turn them on (see “Notifications”); Android’s display component (WebView) does not send usage data from Isshio to Google. The app only asks for the “Internet” permission and, if you turn on notifications, for permission to show notifications; so that a wake-up call also arrives while the device is idle, it may keep the device awake briefly for this (Android grants this without asking). On the website and in the settings, Isshio links to its page on Google Play; you only leave Isshio and go to Google when you tap it. So that Android opens links to the home page of isshio.com, such as an invitation, in the installed app instead of the browser, isshio.com serves a public file with the package name and the fingerprint of the app; it contains no personal data. Legal basis: Art. 6(1)(f) GDPR (offering the app and fixing errors).
Deleting and retention
“Leave group” only removes it from your list. The device that created a group can delete it for everyone, and so can a device into which you restored its backed-up codes (they then contain the delete key); it can then be restored for 30 days and is afterwards permanently removed from the online storage. If no device opens or syncs a group for 24 months, we delete it automatically; any member can then restore it for 30 days, after which it is permanently removed. For this we keep the time of the last access to each group, updated at most once a day and not linked to any device or person. If you want to keep the data, you can export the group at any time, even after deletion. If a group is missing online and your device never saw it being deleted (for example after data loss or because it was offline for a long time), you can upload your copy again with “Put it back online from this device”; it is then stored like a newly created group. Deletion concerns our storage. Copies on members’ devices and exports remain until they are removed there, just as a deleted email remains with its recipient.
Backups
So that groups can be restored after an error or attack, we copy the online storage once a day to our private repository at GitHub (GitHub, Inc., USA). The copy contains only what is stored online: the encrypted blocks, derived identifiers, check values, version numbers and timestamps, but no values derived from IP addresses. We keep each copy for 30 days. In addition, Cloudflare keeps restore points of the database for 7 days. A deleted group can first be restored for 30 days and then remains in the backups for up to 30 more days; it is therefore removed from all our storage at the latest about 60 days after deletion. Transfers to the USA are covered by the EU-US Data Privacy Framework. Legal basis: Art. 6(1)(f) GDPR (availability and restorability, Art. 32(1)(c) GDPR).
Your rights
You have the right of access, rectification, erasure, restriction and data portability (Art. 15–20 GDPR). We cannot read group data or link it to a person, so for group data we can only fulfil these rights if you send us the group code (Art. 11(2) GDPR); we use it only for that and delete it afterwards. For your emails and messages to us, an email without a code is enough. In the app you can also view, edit and delete everything yourself.
Objection
Where processing is based on our legitimate interest (Art. 6(1)(f) GDPR), you can object at any time on grounds relating to your particular situation (Art. 21 GDPR). Just send us an email.
Complaint
You can lodge a complaint with a data protection supervisory authority, for example the one responsible for our place of residence: the Hamburg Commissioner for Data Protection and Freedom of Information, datenschutz-hamburg.de.
Obligation to provide data, automated decisions
You do not have to provide any data, but without group data and IP processing we cannot offer the app. There are no automated decisions or profiling.
Contact by email
If you write to us, we process your address and message in order to handle and answer your request. Emails to support@isshio.com are forwarded by Cloudflare (Cloudflare Email Routing) to our Gmail mailbox; Cloudflare processes them as our processor (see “Hosting at Cloudflare”) and does not store the content. Emails are held by Google (Gmail, Google Ireland Limited), which acts as a separate controller under its own privacy policy and may also process data in the USA (Data Privacy Framework). We delete them once your request is closed, after 12 months at most. Legal basis: Art. 6(1)(b) GDPR for questions about using the app, otherwise Art. 6(1)(f) GDPR (legitimate interest in answering requests and fixing errors).
Contact form
If you write to us through the form in the app, we transmit your message, the optional email address for the reply, and the app version and language to our server. It forwards them as an email to our Gmail mailbox (Google, see “Contact by email”); Cloudflare does not store the message. The purpose is to handle your message and to reply if you provide an address; without an address we cannot reply. We delete the message once your request is closed, after 12 months at most. Legal basis: Art. 6(1)(b) GDPR for questions about using the app, otherwise Art. 6(1)(f) GDPR (legitimate interest in answering requests and fixing errors). The message is encrypted in transit via HTTPS but, unlike your groups, not end-to-end encrypted. Please do not put any group codes in it. To protect against abuse, we count the messages sent per network (see “Protection against code guessing”).
Last updated: 9 November 2026
Privacidad
Traducción de la versión alemana; en caso de discrepancia, prevalece la versión alemana.
Responsable del tratamiento
Schahin Taheri Sanjani, Wiesendamm 156, 22303 Hamburg, Alemania. Correo electrónico: support@isshio.com, formulario de contacto en la app, en Ajustes → Escribir un mensaje. Isshio es un proyecto gratuito gestionado a título particular.
Qué se guarda en línea
Tus grupos, personas y entradas se cifran en tu dispositivo con AES-256 antes de enviarse. Solo guardamos un bloque ilegible, un identificador derivado, valores de comprobación para los permisos de cambiar y eliminar, un número de versión y marcas de tiempo, entre ellas la del último acceso. Base jurídica: art. 6.1.b) RGPD (prestación de la app).
Estadística interna
Una vez al día, nuestro servidor cuenta a partir de esas marcas de tiempo solo totales: cuántos grupos hay, cuántos se usaron en los últimos 7 y 30 días y cuántos se crearon o eliminaron. No contienen nada sobre grupos, personas o dispositivos concretos. Solo nosotros vemos esos totales; los usamos para planificar el funcionamiento y el desarrollo de la app. Base jurídica: art. 6.1.f) RGPD.
El código es la llave
El código del grupo nunca se nos envía, tampoco al abrir un enlace de invitación: ahí va detrás del signo #, y los navegadores no transmiten esa parte al servidor. Quien tenga el código o el enlace puede leer y cambiar el grupo. Sin el código no podemos ni leer ni recuperar los datos.
Historial del grupo
Cada grupo lleva un historial: quién creó, cambió o eliminó una entrada o un ajuste y cuándo, con el valor antiguo y el nuevo en los cambios. Como «quién» cuenta la persona elegida en «Soy yo» en cada dispositivo; esto no se comprueba. Igual que el resto de datos del grupo, el historial está cifrado de extremo a extremo y lo ve todo el que tenga el código, pero no nosotros. Abarca como máximo los últimos 12 meses y 1000 cambios; lo más antiguo se descarta, y el historial se elimina junto con el grupo. No forma parte de la exportación. Base jurídica: art. 6.1.b) RGPD.
Sin cuentas, sin rastreo
No hay registro, ni publicidad, ni rastreadores de análisis o publicidad, ni cookies. No llevamos registros de accesos ni de contenidos; los registros de nuestro servidor están desactivados. Lo que contamos brevemente para evitar abusos se explica en «Protección contra la adivinación de códigos».
Alojamiento en Cloudflare
La app funciona en Cloudflare (Workers, D1). El código se ejecuta en la red mundial de Cloudflare y la base de datos está en la UE. En cada solicitud, Cloudflare trata técnicamente tu dirección IP y datos de conexión como la hora, la dirección solicitada y el identificador del navegador, para entregar la app y protegerla de ataques, por ejemplo con un límite para demasiadas solicitudes en poco tiempo. Cloudflare es nuestro encargado del tratamiento; para las transferencias a EE. UU. se aplican el EU-US Data Privacy Framework y cláusulas contractuales tipo. Base jurídica: art. 6.1.f) RGPD (funcionamiento seguro).
Tipos de cambio
Si en un grupo eliges «Mostrar también importes en», la app pide a nuestro servidor los tipos de cambio de los días con entradas y de hoy. Si anotas una entrada en una moneda distinta de la del grupo, pide los tipos de la fecha de esa entrada. Si importas un archivo con varias monedas sin conversión propia, pide para cada moneda los tipos de la fecha de su última entrada. Solo se envía una fecha, nunca el grupo, la moneda ni el importe; la respuesta siempre contiene los tipos de todas las monedas. Nuestro servidor obtiene los días que faltan de Frankfurter (api.frankfurter.dev, un servicio gratuito con tipos de referencia de bancos centrales) y también envía solo la fecha, ningún dato tuyo ni tu dirección IP. Guardamos los tipos sin relación con grupos ni personas. La moneda elegida y, en las entradas en otra moneda, su importe forman parte cifrada del grupo. Base jurídica: art. 6.1.b) RGPD.
Notificaciones
Las notificaciones están desactivadas hasta que las actives en los ajustes; solo entonces tu navegador o Android pide permiso. Al activarlas, tu navegador o la app de Android crea una dirección push con dos claves. La guardamos junto con los identificadores de tus grupos, el identificador aleatorio de la persona que elegiste allí en «Soy yo» (no un nombre) y el momento del último registro. Si otra persona añade, cambia o elimina algo en uno de esos grupos, nuestro servidor envía a esa dirección un aviso cifrado que solo contiene el identificador del grupo y el número de cambios; no conocemos nombres, importes ni otros contenidos. Tu dispositivo compone el texto de la notificación con sus propios datos y, para ello, guarda además los nombres de tus grupos en el almacenamiento del navegador o de la app. El aviso lo entrega el servicio push que el fabricante de tu navegador gestiona como responsable independiente, también en EE. UU.: Google (Chrome, Samsung Internet y otros navegadores Chromium), Mozilla (Firefox), Microsoft (Edge) o Apple (Safari); en la app de Android es Google, a través de los servicios de Google Play de tu dispositivo. El servicio push no puede leer el aviso, pero ve cuándo lo recibe tu dispositivo. Como una dirección push sirve para todos los grupos de un dispositivo, podríamos deducir de ella qué grupos están en el mismo dispositivo; sin notificaciones no es posible. Eliminamos el registro de un grupo cuando sales de él, desactivas su interruptor o se elimina el grupo; todos los registros cuando desactivas las notificaciones o el servicio push indica que la dirección ya no es válida; y cada uno, como muy tarde, 60 días después de su última renovación. Mientras abras la app, tu dispositivo los renueva aproximadamente cada semana. Los registros no forman parte de nuestras copias de seguridad en GitHub, pero permanecen hasta 7 días en los puntos de restauración de Cloudflare. Base jurídica: art. 6.1.b) RGPD; lo que se guarda para ello en tu dispositivo es necesario para esta función que has pedido (§ 25, apartado 2, n.º 2, TDDDG, ley alemana).
Protección contra la adivinación de códigos
Tras intentos fallidos, al crear grupos nuevos y al enviar mensajes por el formulario de contacto, contamos los intentos por red. Para ello calculamos a partir de tu dirección IP (en IPv6, de tu red), con una clave secreta que solo nosotros conocemos, un valor de comprobación abreviado. Es seudónimo: sin la clave no se puede volver a calcular tu dirección. Lo eliminamos del almacenamiento en línea como máximo a las 2 horas; en los puntos de restauración de Cloudflare (ver «Copias de seguridad») permanece hasta 7 días. Así protegemos los grupos frente a la adivinación de códigos y el servicio frente a abusos. Base jurídica: art. 6.1.f) RGPD (seguridad, art. 32 RGPD).
En tu dispositivo
Una copia de tus grupos y tus ajustes (idioma, apariencia, códigos propios) se guarda en el almacenamiento local de tu navegador o de la app. En el navegador, un service worker mantiene la app disponible sin conexión; en la app de Android, sus archivos forman parte de la propia app. Es necesario para ello, por eso no hace falta tu consentimiento (§ 25, apartado 2, n.º 2, TDDDG, ley alemana). Los tipos de cambio obtenidos se guardan en tu dispositivo para que también sirvan sin conexión. La imagen de grupo y el banner que elijas en los ajustes de un grupo solo están en tu dispositivo; no se envían y no forman parte de la sincronización, la exportación ni la copia de códigos. Lo que escribes o dictas en el título de un gasto lo procesa la entrada rápida solo en tu dispositivo; para ello no se envía nada. Si dictas con el teclado de tu dispositivo, el proveedor del teclado procesa tu voz según sus propias condiciones; no tenemos influencia sobre ello. Estos datos permanecen en tu dispositivo hasta que quites el grupo de tu lista, borres los datos del navegador o de la app o desinstales la app. La app de Android los excluye de la copia de seguridad de Google de tu dispositivo para que tus códigos no acaben en tu cuenta de Google; para pasarlos a un dispositivo nuevo, usa «Guardar códigos». El navegador y la app tienen almacenamientos separados, incluso en el mismo dispositivo. Guarda tus códigos antes de borrar los datos del navegador o desinstalar la app.
Nombres de otras personas
Un grupo también contiene nombres y gastos de otras personas. Como todos los datos del grupo, están cifrados de extremo a extremo; no podemos leerlos ni asignarlos a ninguna persona y por eso no podemos informar a nadie individualmente (art. 11 y art. 14.5.b) RGPD). Esta información también se aplica a ellas; pueden ejercer sus derechos con el código del grupo. Escribe solo los nombres que el grupo necesite; basta un nombre de pila o un apodo.
Exportar, importar, guardar códigos, invitar
La exportación (PDF, Excel, CSV), la imagen de la retrospectiva, la importación, la copia de tus códigos y las invitaciones se hacen solo en tu dispositivo y no se nos envían. Tú decides dónde compartirlas o guardarlas. En la app de Android, «Guardar» deja el archivo en la carpeta «Descargas» de tu dispositivo; ahí se queda aunque desinstales la app.
App de Android y Google Play
La app de Android se obtiene a través de Google Play (Google Ireland Limited). Para la búsqueda, la descarga, las actualizaciones y las valoraciones, Google trata datos como tu cuenta de Google y tu dispositivo como responsable independiente según su propia política de privacidad, también en EE. UU. (Data Privacy Framework). En la Play Console, Google solo nos muestra cifras agregadas, por ejemplo sobre instalaciones, valoraciones y fallos. Los informes de fallos solo llegan desde dispositivos en los que está permitido enviar datos de uso y diagnóstico a Google; contienen datos técnicos como el modelo del dispositivo, la versión de Android y el punto del error, pero ningún dato de grupos. Las valoraciones y nuestras respuestas son públicas en Google Play. En la propia app no hemos integrado servicios de Google ni de otros proveedores, salvo la entrega de notificaciones a través de los servicios de Google Play si las activas (ver «Notificaciones»); el componente de visualización de Android (WebView) no envía datos de uso de Isshio a Google. La app solo pide el permiso «Internet» y, si activas las notificaciones, el permiso para mostrarlas; para que un aviso llegue también con el dispositivo en reposo, puede mantenerlo activo un momento (Android lo concede sin preguntar). En la web y en los ajustes, Isshio enlaza a su página en Google Play; solo al tocar el enlace sales de Isshio y vas a Google. Para que Android abra los enlaces a la página de inicio de isshio.com, por ejemplo una invitación, en la app instalada en lugar de en el navegador, isshio.com ofrece un archivo público con el nombre del paquete y la huella de la app; no contiene datos personales. Base jurídica: art. 6.1.f) RGPD (ofrecer la app y corregir errores).
Eliminación y plazo de conservación
«Salir del grupo» solo lo quita de tu lista. El dispositivo que creó un grupo puede eliminarlo para todos, igual que un dispositivo en el que hayas recuperado sus códigos guardados (que entonces contienen la clave de borrado); después se puede recuperar durante 30 días y luego se elimina definitivamente del almacenamiento en línea. Si ningún dispositivo abre o sincroniza un grupo durante 24 meses, lo eliminamos automáticamente; entonces cualquier miembro puede recuperarlo durante 30 días y después se elimina definitivamente. Para ello guardamos de cada grupo el momento del último acceso, actualizado como mucho una vez al día y sin relación con dispositivos ni personas. Quien quiera conservar los datos puede exportar el grupo en cualquier momento, incluso después de eliminarlo. Si un grupo falta en línea sin que tu dispositivo haya visto su eliminación (por ejemplo, tras una pérdida de datos o porque estuvo mucho tiempo sin conexión), puedes volver a subir tu copia con «Volver a ponerlo en línea desde este dispositivo»; entonces se guarda como un grupo recién creado. La eliminación afecta a nuestro almacenamiento. Las copias en los dispositivos de los miembros y las exportaciones se mantienen hasta que se quiten allí, igual que un correo eliminado sigue en el buzón de quien lo recibió.
Copias de seguridad
Para poder recuperar los grupos tras un error o un ataque, copiamos una vez al día el almacenamiento en línea a nuestro repositorio privado en GitHub (GitHub, Inc., EE. UU.). La copia solo contiene lo que también está en línea: los bloques cifrados, identificadores derivados, valores de comprobación, números de versión y marcas de tiempo, pero ningún valor obtenido de direcciones IP. Conservamos cada copia durante 30 días. Además, Cloudflare mantiene puntos de restauración de la base de datos durante 7 días. Un grupo eliminado se puede recuperar primero durante 30 días y después permanece hasta 30 días más en las copias de seguridad; por eso desaparece de todo nuestro almacenamiento como muy tarde unos 60 días después de su eliminación. Para las transferencias a EE. UU. se aplica el EU-US Data Privacy Framework. Base jurídica: art. 6.1.f) RGPD (disponibilidad y capacidad de restauración, art. 32.1.c) RGPD).
Tus derechos
Tienes derecho de acceso, rectificación, supresión, limitación y portabilidad de los datos (arts. 15–20 RGPD). No podemos leer los datos de grupo ni asignarlos a ninguna persona, por eso para ellos solo podemos atender estos derechos si nos envías el código del grupo (art. 11.2 RGPD); lo usamos solo para eso y después lo eliminamos. Para tus correos y mensajes dirigidos a nosotros basta un correo sin código. En la app también puedes ver, cambiar y eliminar todo tú mismo.
Oposición
Si un tratamiento se basa en nuestro interés legítimo (art. 6.1.f) RGPD), puedes oponerte en cualquier momento por motivos relacionados con tu situación particular (art. 21 RGPD). Para ello, escríbenos un correo.
Reclamación
Puedes presentar una reclamación ante una autoridad de control de protección de datos, por ejemplo la competente para nuestro domicilio: el Comisionado de Hamburgo para la Protección de Datos y la Libertad de Información (Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit), datenschutz-hamburg.de.
Obligación de facilitar datos, decisiones automatizadas
No tienes que facilitar ningún dato; sin datos de grupo y sin tratar la IP, sin embargo, no podemos ofrecer la app. No hay decisiones automatizadas ni elaboración de perfiles.
Contacto por correo electrónico
Si nos escribes, tratamos tu dirección y tu mensaje para tramitar y responder tu consulta. Cloudflare (Cloudflare Email Routing) reenvía los correos a support@isshio.com a nuestro buzón de Gmail; Cloudflare los trata como nuestro encargado del tratamiento (ver «Alojamiento en Cloudflare») y no guarda el contenido. Los correos se guardan en Google (Gmail, Google Ireland Limited), que actúa como responsable independiente según su propia política de privacidad y también puede tratar datos en EE. UU. (Data Privacy Framework). Los eliminamos al cerrar tu consulta, como máximo a los 12 meses. Base jurídica: art. 6.1.b) RGPD para preguntas sobre el uso de la app; en los demás casos, art. 6.1.f) RGPD (interés legítimo en responder consultas y corregir errores).
Formulario de contacto
Si nos escribes con el formulario de la app, transmitimos a nuestro servidor tu mensaje, la dirección de correo opcional para la respuesta, la versión de la app y el idioma. El servidor lo reenvía como correo a nuestro buzón de Gmail (Google, ver «Contacto por correo electrónico»); Cloudflare no guarda el mensaje. La finalidad es tramitar tu mensaje y responderte si indicas una dirección; sin dirección no podemos responder. Eliminamos el mensaje al cerrar tu consulta, como máximo a los 12 meses. Base jurídica: art. 6.1.b) RGPD para preguntas sobre el uso de la app; en los demás casos, art. 6.1.f) RGPD (interés legítimo en responder consultas y corregir errores). El mensaje va cifrado por el camino mediante HTTPS, pero, a diferencia de tus grupos, no de extremo a extremo. No escribas en él códigos de grupo. Para protegernos de abusos, contamos los mensajes enviados por red (ver «Protección contra la adivinación de códigos»).
Última actualización: 9 de noviembre de 2026
Confidentialité
Traduction de la version allemande ; en cas de divergence, la version allemande fait foi.
Responsable du traitement
Schahin Taheri Sanjani, Wiesendamm 156, 22303 Hamburg, Allemagne. E-mail : support@isshio.com, formulaire de contact dans l’app, sous Réglages → Écrire un message. Isshio est un projet gratuit géré à titre privé.
Ce qui est enregistré en ligne
Vos groupes, personnes et entrées sont chiffrés sur votre appareil avec AES-256 avant d’être envoyés. Nous n’enregistrons qu’un bloc illisible, un identifiant dérivé, des valeurs de contrôle pour les droits de modification et de suppression, un numéro de version et des horodatages, dont celui du dernier accès. Base juridique : art. 6, par. 1, point b), du RGPD (fourniture de l’app).
Statistique interne
Une fois par jour, notre serveur compte à partir de ces horodatages uniquement des totaux : combien de groupes existent, combien ont été utilisés au cours des 7 et 30 derniers jours et combien ont été créés ou supprimés. Ils ne contiennent rien sur des groupes, personnes ou appareils précis. Nous seuls voyons ces totaux ; nous les utilisons pour planifier le fonctionnement et le développement de l’app. Base juridique : art. 6, par. 1, point f), du RGPD.
Le code est la clé
Le code du groupe ne nous est jamais envoyé, pas même à l’ouverture d’un lien d’invitation : il s’y trouve après le signe #, et les navigateurs ne transmettent pas cette partie au serveur. Quiconque possède le code ou le lien peut lire et modifier le groupe. Sans le code, nous ne pouvons ni lire ni récupérer les données.
Historique du groupe
Chaque groupe tient un historique : qui a créé, modifié ou supprimé une entrée ou un réglage et quand, avec l’ancienne et la nouvelle valeur pour les modifications. Est considérée comme « qui » la personne choisie dans « C’est moi » sur chaque appareil ; ce n’est pas vérifié. Comme les autres données du groupe, l’historique est chiffré de bout en bout et visible par toute personne qui possède le code, mais pas par nous. Il couvre au maximum les 12 derniers mois et 1 000 modifications ; le plus ancien est supprimé, et l’historique est supprimé avec le groupe. Il ne fait pas partie de l’export. Base juridique : art. 6, par. 1, point b), du RGPD.
Pas de compte, pas de pistage
Pas d’inscription, pas de publicité, pas de traceurs d’analyse ou publicitaires, pas de cookies. Nous ne tenons pas de journaux d’accès ni de contenus ; les journaux de notre serveur sont désactivés. Ce que nous comptons brièvement pour prévenir les abus est décrit sous « Protection contre la devinette de codes ».
Hébergement chez Cloudflare
L’app fonctionne sur Cloudflare (Workers, D1). Le code s’exécute sur le réseau mondial de Cloudflare, la base de données se trouve dans l’UE. À chaque requête, Cloudflare traite techniquement votre adresse IP et des données de connexion comme l’heure, l’adresse demandée et l’identifiant du navigateur, afin de fournir l’app et de la protéger contre les attaques, par exemple par une limite en cas de trop nombreuses requêtes en peu de temps. Cloudflare est notre sous-traitant ; pour les transferts vers les États-Unis s’appliquent l’EU-US Data Privacy Framework et des clauses contractuelles types. Base juridique : art. 6, par. 1, point f), du RGPD (fonctionnement sécurisé).
Taux de change
Si vous choisissez « Afficher aussi les montants en » dans un groupe, l’app demande à notre serveur les taux de change des jours comportant des entrées et du jour même. Si vous saisissez une entrée dans une devise différente de celle du groupe, elle demande les taux de la date de cette entrée. Si vous importez un fichier à plusieurs devises sans conversion propre, elle demande pour chaque devise les taux de la date de sa dernière entrée. Seule une date est envoyée, jamais le groupe, la devise ni le montant ; la réponse contient toujours les taux de toutes les devises. Notre serveur récupère les jours manquants auprès de Frankfurter (api.frankfurter.dev, un service gratuit de taux de référence des banques centrales) et n’envoie là aussi que la date, aucune de vos données ni votre adresse IP. Nous enregistrons les taux sans lien avec des groupes ou des personnes. La devise choisie et, pour les entrées dans une autre devise, leur montant font partie des données chiffrées du groupe. Base juridique : art. 6, par. 1, point b), du RGPD.
Notifications
Les notifications sont désactivées jusqu’à ce que vous les activiez dans les réglages ; ce n’est qu’alors que votre navigateur ou Android demande l’autorisation. À l’activation, votre navigateur ou l’app Android crée une adresse push avec deux clés. Nous l’enregistrons avec les identifiants de vos groupes, l’identifiant aléatoire de la personne choisie dans « C’est moi » (pas un nom) et la date de la dernière inscription. Si quelqu’un d’autre ajoute, modifie ou supprime quelque chose dans l’un de ces groupes, notre serveur envoie à cette adresse un signal chiffré qui ne contient que l’identifiant du groupe et le nombre de modifications ; nous n’apprenons ni noms, ni montants, ni autre contenu. Votre appareil compose le texte de la notification à partir de ses propres données et enregistre pour cela aussi les noms de vos groupes dans le stockage du navigateur ou de l’app. Le signal est remis par le service push que l’éditeur de votre navigateur exploite en tant que responsable indépendant, y compris aux États-Unis : Google (Chrome, Samsung Internet et d’autres navigateurs Chromium), Mozilla (Firefox), Microsoft (Edge) ou Apple (Safari) ; dans l’app Android, c’est Google, via les services Google Play de votre appareil. Le service push ne peut pas lire le signal, mais voit quand votre appareil en reçoit un. Comme une adresse push vaut pour tous les groupes d’un appareil, nous pourrions en déduire quels groupes se trouvent sur le même appareil ; sans notifications, ce n’est pas possible. Nous supprimons l’inscription d’un groupe lorsque vous le quittez, désactivez son interrupteur ou que le groupe est supprimé, toutes les inscriptions lorsque vous désactivez les notifications ou que le service push signale l’adresse comme invalide, et chacune au plus tard 60 jours après son dernier renouvellement. Tant que vous ouvrez l’app, votre appareil les renouvelle environ chaque semaine. Les inscriptions ne font pas partie de nos sauvegardes chez GitHub, mais restent jusqu’à 7 jours dans les points de restauration de Cloudflare. Base juridique : art. 6, par. 1, point b), du RGPD ; ce qui est enregistré pour cela sur votre appareil est nécessaire à cette fonction que vous avez demandée (§ 25, al. 2, n° 2, TDDDG, loi allemande).
Protection contre la devinette de codes
Après des tentatives échouées, lors de la création de nouveaux groupes et lors de l’envoi de messages via le formulaire de contact, nous comptons les tentatives par réseau. Pour cela, nous calculons à partir de votre adresse IP (en IPv6, de votre réseau), avec une clé secrète que nous seuls connaissons, une valeur de contrôle abrégée. Elle est pseudonyme : sans la clé, votre adresse ne peut pas être recalculée. Nous la supprimons du stockage en ligne au plus tard après 2 heures ; dans les points de restauration de Cloudflare (voir « Sauvegardes »), elle subsiste jusqu’à 7 jours. Nous protégeons ainsi les groupes contre la devinette de codes et le service contre les abus. Base juridique : art. 6, par. 1, point f), du RGPD (sécurité, art. 32 du RGPD).
Sur votre appareil
Une copie de vos groupes et de vos réglages (langue, apparence, codes personnels) est enregistrée dans le stockage local de votre navigateur ou de l’app. Dans le navigateur, un service worker garde l’app disponible hors ligne ; dans l’app Android, ses fichiers font partie de l’app elle-même. C’est nécessaire pour cela, votre consentement n’est donc pas requis (§ 25, al. 2, n° 2, TDDDG, loi allemande). Les taux de change récupérés sont enregistrés sur votre appareil pour fonctionner aussi hors ligne. L’image de groupe et la bannière que vous choisissez dans les réglages d’un groupe restent uniquement sur votre appareil ; elles ne sont pas envoyées et ne font partie ni de la synchronisation, ni de l’export, ni de la sauvegarde des codes. Ce que vous écrivez ou dictez dans le titre d’une dépense est traité par la saisie rapide uniquement sur votre appareil ; rien n’est envoyé pour cela. Si vous dictez avec le clavier de votre appareil, son fournisseur traite votre voix selon ses propres conditions ; nous n’avons aucune influence sur cela. Ces données restent sur votre appareil jusqu’à ce que vous retiriez le groupe de votre liste, effaciez les données du navigateur ou de l’app ou désinstalliez l’app. L’app Android les exclut de la sauvegarde Google de votre appareil afin que vos codes ne se retrouvent pas dans votre compte Google ; pour les transférer sur un nouvel appareil, utilisez « Sauvegarder les codes ». Le navigateur et l’app ont des stockages séparés, même sur le même appareil. Sauvegardez vos codes avant d’effacer les données du navigateur ou de désinstaller l’app.
Noms d’autres personnes
Un groupe contient aussi les noms et les dépenses d’autres personnes. Comme toutes les données du groupe, ils sont chiffrés de bout en bout ; nous ne pouvons ni les lire ni les attribuer à une personne et ne pouvons donc informer personne individuellement (art. 11 et art. 14, par. 5, point b), du RGPD). Ces informations s’appliquent aussi à elles ; elles peuvent exercer leurs droits avec le code du groupe. N’indiquez que les noms dont le groupe a besoin ; un prénom ou un surnom suffit.
Exporter, importer, sauvegarder les codes, inviter
L’export (PDF, Excel, CSV), l’image de la rétrospective, l’import, la sauvegarde de vos codes et les invitations se font uniquement sur votre appareil et ne nous sont pas envoyés. Vous décidez où les partager ou les conserver. Dans l’app Android, « Enregistrer » place le fichier dans le dossier « Téléchargements » de votre appareil ; il y reste même si vous désinstallez l’app.
App Android et Google Play
Vous obtenez l’app Android via Google Play (Google Ireland Limited). Pour la recherche, le téléchargement, les mises à jour et les avis, Google traite des données comme votre compte Google et votre appareil en tant que responsable distinct selon sa propre politique de confidentialité, y compris aux États-Unis (Data Privacy Framework). Dans la Play Console, Google ne nous montre que des chiffres agrégés, par exemple sur les installations, les notes et les plantages. Les rapports de plantage ne proviennent que d’appareils sur lesquels l’envoi de données d’utilisation et de diagnostic à Google est autorisé ; ils contiennent des informations techniques comme le modèle de l’appareil, la version d’Android et l’endroit de l’erreur, mais aucune donnée de groupe. Les avis et nos réponses sont publics sur Google Play. Nous n’avons intégré dans l’app aucun service de Google ou d’autres fournisseurs, sauf la remise des notifications via les services Google Play si vous les activez (voir « Notifications ») ; le composant d’affichage d’Android (WebView) n’envoie pas de données d’utilisation d’Isshio à Google. L’app ne demande que l’autorisation « Internet » et, si vous activez les notifications, l’autorisation d’afficher des notifications ; pour qu’un signal arrive aussi lorsque l’appareil est en veille, elle peut le maintenir brièvement actif (Android l’accorde sans demander). Sur le site web et dans les réglages, Isshio renvoie vers sa page sur Google Play ; ce n’est qu’en touchant le lien que vous quittez Isshio pour aller chez Google. Pour qu’Android ouvre les liens vers la page d’accueil de isshio.com, par exemple une invitation, dans l’app installée plutôt que dans le navigateur, isshio.com met à disposition un fichier public avec le nom du paquet et l’empreinte de l’app ; il ne contient aucune donnée personnelle. Base juridique : art. 6, par. 1, point f), du RGPD (proposer l’app et corriger les erreurs).
Suppression et durée de conservation
« Quitter le groupe » le retire seulement de votre liste. L’appareil qui a créé un groupe peut le supprimer pour tous, tout comme un appareil sur lequel vous avez récupéré ses codes sauvegardés (qui contiennent alors la clé de suppression) ; il peut ensuite être récupéré pendant 30 jours, puis il est supprimé définitivement du stockage en ligne. Si aucun appareil n’ouvre ni ne synchronise un groupe pendant 24 mois, nous le supprimons automatiquement ; tout membre peut alors le récupérer pendant 30 jours, puis il est supprimé définitivement. Pour cela, nous enregistrons pour chaque groupe le moment du dernier accès, mis à jour au plus une fois par jour et sans lien avec des appareils ou des personnes. Qui veut conserver les données peut exporter le groupe à tout moment, même après sa suppression. Si un groupe manque en ligne sans que votre appareil ait vu sa suppression (par exemple après une perte de données ou parce qu’il est resté longtemps hors ligne), vous pouvez remettre votre copie en ligne avec « Le remettre en ligne depuis cet appareil » ; il est alors enregistré comme un groupe nouvellement créé. La suppression concerne notre stockage. Les copies sur les appareils des membres et les exports subsistent jusqu’à ce qu’ils y soient supprimés, tout comme un e-mail supprimé reste chez son destinataire.
Sauvegardes
Pour pouvoir récupérer les groupes après une erreur ou une attaque, nous copions une fois par jour le stockage en ligne dans notre dépôt privé sur GitHub (GitHub, Inc., États-Unis). La copie ne contient que ce qui est aussi en ligne : les blocs chiffrés, des identifiants dérivés, des valeurs de contrôle, des numéros de version et des horodatages, mais aucune valeur obtenue à partir d’adresses IP. Nous conservons chaque copie pendant 30 jours. En outre, Cloudflare conserve des points de restauration de la base de données pendant 7 jours. Un groupe supprimé peut d’abord être récupéré pendant 30 jours, puis reste jusqu’à 30 jours de plus dans les sauvegardes ; il disparaît donc de tout notre stockage au plus tard environ 60 jours après sa suppression. Pour les transferts vers les États-Unis s’applique l’EU-US Data Privacy Framework. Base juridique : art. 6, par. 1, point f), du RGPD (disponibilité et capacité de restauration, art. 32, par. 1, point c), du RGPD).
Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et de portabilité des données (art. 15 à 20 du RGPD). Nous ne pouvons ni lire les données de groupe ni les attribuer à une personne, nous ne pouvons donc donner suite à ces droits pour elles que si vous nous envoyez le code du groupe (art. 11, par. 2, du RGPD) ; nous ne l’utilisons qu’à cette fin et le supprimons ensuite. Pour vos e-mails et messages qui nous sont adressés, un e-mail sans code suffit. Dans l’app, vous pouvez aussi tout consulter, modifier et supprimer vous-même.
Opposition
Si un traitement repose sur notre intérêt légitime (art. 6, par. 1, point f), du RGPD), vous pouvez vous y opposer à tout moment pour des raisons tenant à votre situation particulière (art. 21 du RGPD). Pour cela, écrivez-nous un e-mail.
Réclamation
Vous pouvez introduire une réclamation auprès d’une autorité de contrôle de la protection des données, par exemple celle compétente pour notre domicile : le commissaire de Hambourg à la protection des données et à la liberté d’information (Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit), datenschutz-hamburg.de.
Obligation de fournir des données, décisions automatisées
Vous n’avez aucune obligation de fournir des données ; sans données de groupe et sans traitement de l’IP, nous ne pouvons toutefois pas proposer l’app. Il n’y a ni décision automatisée ni profilage.
Contact par e-mail
Si vous nous écrivez, nous traitons votre adresse et votre message pour traiter votre demande et y répondre. Cloudflare (Cloudflare Email Routing) transfère les e-mails adressés à support@isshio.com vers notre boîte Gmail ; Cloudflare les traite en tant que notre sous-traitant (voir « Hébergement chez Cloudflare ») et n’en conserve pas le contenu. Les e-mails sont conservés chez Google (Gmail, Google Ireland Limited), qui agit en tant que responsable du traitement distinct selon ses propres règles de confidentialité et peut aussi traiter des données aux États-Unis (Data Privacy Framework). Nous les supprimons à la clôture de votre demande, au plus tard après 12 mois. Base juridique : art. 6, par. 1, point b), du RGPD pour les questions sur l’utilisation de l’app, sinon art. 6, par. 1, point f), du RGPD (intérêt légitime à répondre aux demandes et à corriger les erreurs).
Formulaire de contact
Si vous nous écrivez avec le formulaire de l’app, nous transmettons à notre serveur votre message, l’adresse e-mail facultative pour la réponse, la version de l’app et la langue. Le serveur le transfère sous forme d’e-mail vers notre boîte Gmail (Google, voir « Contact par e-mail ») ; Cloudflare ne conserve pas le message. La finalité est de traiter votre message et de vous répondre si vous indiquez une adresse ; sans adresse, nous ne pouvons pas répondre. Nous supprimons le message à la clôture de votre demande, au plus tard après 12 mois. Base juridique : art. 6, par. 1, point b), du RGPD pour les questions sur l’utilisation de l’app, sinon art. 6, par. 1, point f), du RGPD (intérêt légitime à répondre aux demandes et à corriger les erreurs). Le message est chiffré pendant le transfert par HTTPS, mais, contrairement à vos groupes, pas de bout en bout. N’y écrivez pas de codes de groupe. Pour nous protéger des abus, nous comptons les messages envoyés par réseau (voir « Protection contre la devinette de codes »).