Mira: Datenschutz

Welche Daten Mira verarbeitet

Mira verarbeitet die von der Google- oder Apple-Anmeldung übermittelte Kontoidentität, einschließlich Anbieter-Kontokennung, Name und E-Mail-Adresse sowie einer Google-Avatar-URL, falls vorhanden; Größe und Gewicht im Profil; die maßgebliche IANA-Zeitzone und deren Revision; Ernährungsziele und deren Verlauf; Mahlzeitzeitpunkte, Fotos, einzelne Nährwerte, Notizen, Verarbeitungsstatus und Fristen für die Wiederherstellung gelöschter Mahlzeiten. Coach-Gespräche können eingegebenen Text, eine zur authentifizierten Wiedergabe gespeicherte Sprachaufnahme, deren Verarbeitungsstatus und das daraus erstellte Transkript enthalten.

Apple kann eine private Relay-E-Mail-Adresse bereitstellen und deinen Namen bei späteren Anmeldungen weglassen. Mira speichert Apple-Widerrufsdaten verschlüsselt auf seinem Server. Apple- und Google-Anmeldungen mit derselben bestätigten E-Mail-Adresse verwenden automatisch dasselbe Mira-Konto. Unterschiedliche E-Mail-Adressen bleiben getrennt, sofern du eine Anmeldemethode nicht ausdrücklich mit einem aktuellen Anmeldenachweis verknüpfst. Mira speichert auch Abonnementstatus, Store, Produkt, Ablaufdatum, Transaktionskennung und ob der Kauf zur Produktions- oder Sandbox-Umgebung gehört. Genehmigte TestFlight-Sandbox-Käufe können separat gekennzeichneten Beta-Zugang gewähren; sie werden nicht zu einem bezahlten Produktionsabonnement.

Wenn du einen unterstützten Gesundheitsanbieter verbindest, kann Mira Schritte, aktive Kalorien, Trainingseinheiten und Gewicht verarbeiten, zusammen mit angeforderten Datentypen, Erfassungs-, Upload- und Projektionszeitpunkten, Geräte-App-Version, Synchronisierungssequenz, Einwilligungsversion und minimiertem Löschprüfstatus. Unter Android fordert Mira keine Berechtigung für den Health-Connect-Verlauf an. Auf dem iPhone gibt Apple Health nicht an, ob du den Lesezugriff verweigert hast oder keine passenden Daten vorhanden sind. Der erste Import und der Zeitzonenabgleich sind auf 30 lokale Kalendertage begrenzt.

Wofür die Daten verwendet werden

Kontodaten authentifizieren dein privates Journal. Mahlzeitfotos werden analysiert, um Lebensmittel zu erkennen und deren einzelne Nährwerte zu schätzen. Mahlzeit- und Zieldaten dienen zur Darstellung deines Journals und deines Ernährungsfortschritts. Coach-Nachrichten werden verwendet, um zu antworten, Lebensmittel zu erfassen, angefordertes Ernährungsfeedback zu geben und bei Bedarf frühere sichtbare Coach-Nachrichten privat zu durchsuchen, um eine spätere Frage zu beantworten. Mira speichert die Aufnahme in privatem Objektspeicher, damit die Transkription zuverlässig im Hintergrund abgeschlossen werden kann und du sie während der Aufbewahrung abspielen kannst. Importierte Gesundheitsdaten liefern tägliche Bewegungswerte, das aktuelle Gewicht und aktuelle Trainingsanpassungen. Die Zeitzone bestimmt deine lokalen Kalendergrenzen. Beobachtungen der mobilen App können eine revisionsgeprüfte Zeitzonenänderung anfordern; maßgeblich bleibt der Serverwert.

Gesundheitseinwilligung und Berechtigungen

Die Kopplung von Gesundheitsdaten erfordert eine ausdrückliche Einwilligung zur aktuellen Richtlinienversion über ein zunächst nicht aktiviertes Steuerelement. Anbieterberechtigungen sind von der Mira-Einwilligung getrennt. Unter Android beendet das Entfernen einer Health-Connect-Berechtigung das Lesen dieses Datentyps durch Mira. Auf dem iPhone gibt Apple Health nicht an, ob der Lesezugriff verweigert wurde; Mira kann ein leeres Ergebnis daher nicht als Nachweis einer Berechtigung behandeln. Eine Änderung der Anbieterberechtigung widerruft für sich genommen weder die Mira-Serververbindung noch die Mira-Einwilligung und löscht keine bereits importierten Daten.

Das Trennen in Mira widerruft nur diese Geräteverbindung, nachdem der Server das Ergebnis bestätigt hat. Es ändert keine Berechtigungen in Health Connect oder Apple Health. Ein serverseitig widerrufenes Token kann nicht mehr synchronisieren. Der Widerruf der Einwilligung beendet die Synchronisierung und friert den importierten Verlauf ein, ohne ihn zu verändern. Keine dieser Aktionen löscht stillschweigend importierte Daten.

Löschung, Wiederherstellung und Aufbewahrung

Die separate Aktion Importierte Gesundheitsdaten löschen friert zuerst den Zugriff ein, widerruft Verbindungstoken und sperrt die Kopplung. Anschließend löscht wiederholbare Hintergrundarbeit importierte Quelldaten, Aggregate, Projektionen, Synchronisierungsstatus und Gerätemetadaten. Manuelle Messwerte, Mahlzeiten, Ernährungsziele und minimierte Einwilligungs- und Löschprüfnachweise bleiben erhalten.

Regulär gelöschte Mahlzeiten und ihre privaten Fotos können 30 Tage lang wiederhergestellt werden und sind während dieser Zeit in Exporten enthalten. Nach Ablauf der Wiederherstellungsfrist löscht begrenzte Bereinigungsarbeit die Daten und privaten Objekte. Die Kontolöschung ist davon getrennt und entzieht den Kontozugriff sofort, während die physische Objektlöschung bei erforderlichen Speicherwiederholungen dauerhaft im Hintergrund fortgesetzt wird.

Erfolgreich transkribierte Sprachaufnahmen bleiben bis zur Löschung deines Kontos im privaten Speicher für die authentifizierte Wiedergabe erhalten. Mira bewahrt auch fehlgeschlagene Aufnahmen auf, bis du sie erneut verarbeitest oder löschst, innerhalb begrenzter Speicherkapazitäten pro Konto. Sichtbare Coach-Transkripte und ihre Kennzeichnung Aus Sprachnachricht transkribiert bleiben für die Lebensdauer deines Kontos erhalten und werden mit dem Konto gelöscht.

Importierte Gesundheitsdaten bleiben während der Existenz deines Kontos erhalten, bis du sie ausdrücklich löschst oder das Konto löschst. Eingefrorener Verlauf wird nicht automatisch gelöscht, nur weil eine Einwilligung oder Verbindung widerrufen wurde.

Wenn du ein Konto mit Apple-Anmeldung löschst, entfernt Mira das Konto und behält nur verschlüsselte Widerrufsdaten und einen minimierten Identitäts-Digest, während der Widerruf bei Apple erneut versucht wird. Die Zugangsdaten werden entfernt, sobald Apple den Widerruf bestätigt. Kurzlebige Anmelde-Challenges sowie minimierte Widerrufs- und Benachrichtigungs-Digests verhindern Wiederholungen und verspätete Rückmeldungen; abgeschlossene Lösch-Zugangsdaten und zugehörige Digests werden getrennt von Benutzerdaten bereinigt. Das Entfernen der Beta-Teilnahme beendet den Beta-Zugang, ohne dein Journal zu löschen oder ein Produktionsabonnement zu kündigen.

Dienstleister und Ausschlüsse

Google verarbeitet die Anmeldung ausschließlich zur Identifizierung. In der Produktion speichert privater DigitalOcean-Spaces-Speicher Mahlzeitfotos und aufbewahrte Sprachaufnahmen. Gemini erhält den für Ernährungsanalyse und Chat-Aktionen erforderlichen Mahlzeitfoto- und Bearbeitungskontext. Wenn du eine Sprachnachricht sendest, erhält Gemini auch diese Aufnahme zur Erstellung eines Transkripts. Erfolgreich transkribiertes Roh-Audio bleibt privat und bis zur Kontolöschung ausschließlich für authentifizierte Wiedergabe verfügbar; das Transkript und seine Sprachherkunftskennzeichnung werden als Coach-Nachricht gespeichert. Wenn eine spätere Coach-Frage früheren Kontext benötigt, können begrenzte Auszüge sichtbarer Nutzer- und Assistentennachrichten an Gemini gesendet werden. Roh-Audio, Systemanweisungen, Tool-Argumente und -Ergebnisse, interne Traces, Zusammenfassungen und Erinnerungen sind von der Transkriptsuche ausgeschlossen. Importierte Gesundheitsdaten und daraus abgeleitete Gesundheitswerte werden nicht automatisch in Gemini-Anweisungen aufgenommen.

RevenueCat erhält Miras undurchsichtige Kontokennung und Kaufmetadaten der App-Stores, um Abonnements zu prüfen, Käufe wiederherzustellen und den Abonnementstatus zu melden. Mira übermittelt RevenueCat weder Namen, E-Mail-Adresse, Gesundheitsdaten, Mahlzeiten, Fotos, Sprachaufnahmen noch Coach-Nachrichten. Sentry erhält nur bereinigte Anwendungsfehler, sofern es konfiguriert ist. Mira deaktiviert Tracing, Profiling, Replay, Log-Weiterleitung und die standardmäßige Erfassung personenbezogener Daten. Die Bereinigung entfernt Nutzer, Anfragen, Query-Strings, Breadcrumbs, Gesundheitsinhalte, Foto- oder Speicherkennungen, Anbieterantworten und Token. Ein Ereignis wird verworfen, wenn seine Unbedenklichkeit nicht nachgewiesen werden kann.

Sicherheit und Zugriff

Mira verwendet authentifizierte API-Anfragen an denselben Ursprung, private zeitlich begrenzte Fotoauslieferung, verschlüsselten Transport in der Produktion, eine durchgesetzte Content Security Policy, No-Store-Verarbeitung für private Routen, einmalige Kopplungszugangsdaten und serverseitige Autorisierung. Kopplungszugangsdaten befinden sich im Fragment eines App Links oder werden manuell eingegeben, nicht in einem Query-String oder einer Bildbeschreibung.

Deine Steuerungsmöglichkeiten

Das angemeldete Profil bietet Datenexport, Profil- und Zieländerungen, Widerruf der Gesundheitseinwilligung, Löschung importierter Gesundheitsdaten, Mahlzeitwiederherstellung und Kontolöschung. Bei einer fehlgeschlagenen Sprachnachricht stehen Erneut versuchen und Löschen neben der authentifizierten Wiedergabe zur Verfügung. Exporte enthalten sichere Metadaten zur Sprachverarbeitung und Transkriptherkunft, niemals Roh-Audio oder private Objektschlüssel. Basis-Ernährungsziele bleiben verfügbar, wenn Gesundheitsdaten nicht gekoppelt, veraltet, im Abgleich, eingefroren, widerrufen oder in Löschung sind.

Optionale Analysen und Zuordnung von Abonnements

Wenn optionale Analysen verfügbar sind, bitten die öffentliche Mira-Website und die Mira-App jeweils um eine separate Auswahl. Eine Ablehnung schränkt weder das Browsen noch die Anmeldung, Lebensmittelaufzeichnung, Health Connect oder Apple Health oder Abonnements ein. Du kannst deine Auswahl in den Datenschutzeinstellungen der Website und im Profil der App ändern. Eine Ablehnung in der App ohne Internetverbindung stoppt die lokale Erfassung sofort und zeigt an, wenn die Synchronisierung mit dem Server noch aussteht.

Mit deiner Auswahl verarbeiten Google Analytics und Firebase Browser- oder App-Instanzkennungen, eine unabhängige Analyse-Kontokennung für die angemeldete App-Nutzung, freigegebene Kampagnenbezeichnungen, technische Geräte- und App-Informationen sowie Ereignisse zur Nutzergewinnung wie Anmeldung, Abonnementoptionen, Kaufabschluss, Testphase und erstes bezahltes Abonnement. Google verarbeitet Netzwerkinformationen einschließlich IP-Adressen, um seinen Dienst bereitzustellen und einen ungefähren Standort abzuleiten. Mira sendet keine E-Mail-Adressen, Google-Anmeldekennungen, Abrechnungsidentitäten, unveränderten Store-Transaktionskennungen, Lebensmittelbilder, Nährwerte, Gesundheitsdaten, Coach-Nachrichten oder Sprachaufnahmen an Analysedienste. Werbespeicherung, Werbenutzerdaten und Personalisierung bleiben deaktiviert; Mira-Analysen erfassen keine Werbekennungen.

Mira verwendet freigegebene Kampagnenbezeichnungen, um zu verstehen, wie Menschen die App finden und zahlende Abonnenten werden. Android kann eine freigegebene Kampagne über die Installation aus Google Play übernehmen. Ein unabhängiger Website-Besuch wird nicht mit deinem App-Konto verknüpft. Die Zuordnung einer anonymen iPhone-Installation kann unbekannt bleiben. RevenueCat liefert authentifizierte Kaufinformationen; Mira erfasst das erste qualifizierende Abonnement mit positivem Preis getrennt von Testphasen, Verlängerungen und Wiederherstellungen. Der gemeldete Wert ist der vom Anbieter gemeldete Preis und keine Abrechnungsbuchhaltung. Analysen entscheiden nicht über den kostenpflichtigen Zugang.

Freigegebene Kampagnendetails werden höchstens 30 Tage und inaktiver Installationskontext höchstens 90 Tage aufbewahrt. Gesendete Server-Analysedaten werden innerhalb von 7 Tagen entfernt, fehlgeschlagene oder uneindeutige Daten innerhalb von 30 Tagen. Die Aufbewahrung von Nutzer- und Ereignisdaten in Google Analytics ist auf 2 Monate ohne Verlängerung bei Aktivität eingestellt. Der Verlauf optionaler Einwilligungsentscheidungen hat ein einjähriges Prüfzeitfenster. Minimale Nachweise zur Abonnementberechtigung und Deduplizierung bleiben bis zur Kontolöschung erhalten und enthalten keine Google-Kennungen oder Kampagnen.

Widerruf und Kontolöschung stoppen neue autorisierte Serverexporte und stellen Löschanfragen für registrierte Google-Kennungen in die Warteschlange. Verschlüsselte Kennungen zur Wiederaufnahme von Löschanfragen werden für ein Wiederherstellungsfenster von höchstens 90 Tagen aufbewahrt. Eine Eingangsbestätigung von Google bestätigt nicht den Abschluss der physischen Löschung; verzögerter App-Datenverkehr, vorübergehende Ausfälle und bereits aggregierte Berichte können die Löschung begrenzen. Nicht abgeschlossene Löschungen werden zur Nachverfolgung durch den Betreiber dokumentiert. Website-Einstellungen löschen lokale Analyse-Cookies, doch die Kontolöschung kann unabhängige anonyme Browser nicht identifizieren. Wende dich für eine Anfrage zu Website-Daten an die Datenschutzadresse dieser Richtlinie und übermittle eine verfügbare Besucherkennung nur über diesen privaten Kontaktweg.

Dieser Hinweis wird unabhängig von der Gesundheitseinwilligung versioniert. Kompatible redaktionelle Änderungen können eine Auswahl erhalten; wesentliche Änderungen der Analysezwecke oder Daten erfordern eine neue Auswahl. Native Analysen bleiben in Builds deaktiviert, bis die Datenschutz- und Anbietereinrichtungsprüfungen bestanden sind. Google ist ein externer Analyseverarbeiter; seine Verarbeitung und internationalen Übermittlungen unterliegen den anwendbaren Google-Vereinbarungen des Betreibers. Der Betreiber muss vor der Aktivierung der Erfassung übereinstimmende Datenschutzhinweise veröffentlichen.