Datenschutzerklärung für Heart

1. Welche Daten Heart erhebt

1.1 Gesundheits- und Fitnessdaten

• ·Herzfrequenz (BPM), in Echtzeit von einem gekoppelten Bluetooth-Herzfrequenzmesser (z. B. Coospo HW9) über den Standard-BLE-Dienst 0x180D gelesen (Heart Rate Measurement, Charakteristik 0x2A37).
• ·R–R-Intervalle, aus denen die Herzfrequenzvariabilität (HRV / RMSSD) berechnet wird.
• ·Abgeleitete Werte: Erholungswert, Belastungswert, Kalorienschätzungen, Schlafphasen (wach / leicht / tief / REM), Schlafwert sowie gleitende 30-Tage-Basiswerte für Ruhepuls und HRV. Alle Berechnungen laufen auf dem Gerät.
• ·Sitzungsverlauf: Startzeit, Dauer, durchschnittliche / maximale HF, Kalorien, Verteilung auf die Zonen die GPS-Route von Spaziergängen, Läufen und Radfahrten, die du startest, und Gym-Sessions, die über den gespeicherten Standort deines Gyms erkannt werden.

1.2 Profildaten, die du eingibst

• · Alter, Geschlecht, Gewicht und Größe (werden von den Formeln für Kalorien und HRV-Basiswert verwendet).
• · Schlafziel und Einstellungen zur Barrierefreiheit.

1.3 Gerätedaten

Kennung, Name, Firmware-Version, Signalstärke und Akkustand gekoppelter Bluetooth-Herzfrequenzmesser.

1.4 Standortdaten

Heart liest deinen Standort für drei Dinge:

• ·Routen: GPS-Koordinaten, solange ein Spaziergang, Lauf oder eine Radfahrt läuft, die du gestartet hast, um die Routenkarte zu zeichnen.
• ·Gym-Erkennung: Wenn du den Standort deines Gyms speicherst, prüft Heart im Hintergrund deinen Standort, um zu bemerken, dass du dich zwei Minuten lang mit angelegtem Gurt im Radius aufhältst (standardmäßig 250 m, in den Einstellungen 100 bis 500 m). Dann startet eine Gym-Session.
• ·Standortverlauf: standardmäßig eingeschaltet, abschaltbar in den Einstellungen. Solange der Gurt verbunden ist, speichert Heart höchstens alle 2 Minuten oder alle 50 m einen Punkt. Im Umkreis von 150 m um den Home-Standort, den du speicherst, wird nichts aufgezeichnet.

Standortdaten bleiben auf dem Handy. Sie verlassen es nur in einem Backup, das du einschaltest, oder als Route, die du auf ein geteiltes Bild setzt. Dort wird die Route im Umkreis deines Home-Standorts abgeschnitten.

1.5 Diagnosedaten

Ein fortlaufendes Protokoll der letzten 20 Sync- / BLE-Fehler (technische Zeichenketten, keine Gesundheitsdaten) und ein Absturzprotokoll in der App. Absturzberichte werden nur aufgezeichnet, wenn du unter Privacy & export die Option „Crash reports opt-in“ einschaltest. Sie werden in eine Datei auf deinem Gerät geschrieben und nicht übertragen, es sei denn, du entscheidest dich, einen Diagnose-Export zu teilen.

2. Wo die Daten gespeichert werden

Alle Daten liegen im privaten App-Speicher deines Geräts:

• ·iOS: die App-Sandbox (Documents und NSUserDefaults), automatisch geschützt durch die Datenschutzfunktion von iOS (Data Protection).
• ·Android: interner App-Speicher (SharedPreferences und das Dokumentenverzeichnis). Unter Android 10 und neuer wird dieser Speicher vom Betriebssystem mithilfe der Anmeldedaten deiner Displaysperre hardwareverschlüsselt.

Andere Apps können diesen Speicher nicht lesen, und wenn du Heart deinstallierst, wird er entfernt.

Bei Backups ist das anders. Heart schreibt seine Backups nach Download/Heart im gemeinsamen Speicher des Handys, damit sie eine Deinstallation überstehen. Dieser Ordner bleibt erhalten, wenn du Heart deinstallierst, und andere Apps, denen du Zugriff auf deine Dateien gegeben hast, können ihn lesen. Lösch ihn selbst, wenn du jede Kopie loswerden willst.

3. Daten, die Heart nicht erhebt

• - Heart fragt nie nach einem Namen, einer E-Mail-Adresse oder einer Telefonnummer.
• - Die Werbe-ID wird nie gelesen.
• - Der Build enthält kein Analyse-SDK und kein Tracking-Pixel. Er öffnet nie Kontakte, Fotos, Mikrofon oder Kamera, und kein Code darin erstellt Nutzerprofile.
• - Keine Telemetrie im Hintergrund. Die einzige Anfrage im Hintergrund an einen von uns kontrollierten Server ist die Update-Prüfung aus Abschnitt 5, und sie sendet nichts über dich. Der Schalter „Outbound telemetry“ unter Privacy & export ist standardmäßig aus und überträgt derzeit keine Daten.

4. Berechtigungen

Heart liest den Standort nur für die drei Zwecke aus 1.4. Die App spricht mit dem einen Bluetooth-Gerät, das du gekoppelt hast, und ignoriert alles andere, was ein Scan findet.

5. Netzwerkanfragen und Dienste Dritter

Hier steht jede Anfrage, die Heart ins Netz schickt. Wie bei jeder Webanfrage sieht der jeweilige Server dabei deine IP-Adresse.

• ·OpenStreetMap-Kachelserver: Kartenkacheln für Routenkarten und für Offline-Kartenbereiche, die du unter Settings → Offline Maps herunterlädst. Kachelanfragen enthalten die Kartenregion, aber keine Heart-spezifischen Kennungen. Nach dem Download werden die Kacheln lokal zwischengespeichert. Kartenkacheln © OpenStreetMap-Mitwirkende, Lizenz ODbL.
• ·Update-Prüfung (ab Version 1.0.23): Höchstens alle 12 Stunden lädt Heart eine kleine Versionsdatei von pointbreaklab.com, das auf GitHub Pages liegt. Dabei wird nichts über dich gesendet, und du kannst die Prüfung in den Einstellungen abschalten. Wenn du ein Update annimmst, lädt Heart die neue Version herunter und prüft ihre Prüfsumme, bevor Android dich um die Installation bittet.
• ·Nur wenn du sie einschaltest: das Google-Drive-Backup (gespeichert in deinem eigenen Google-Konto, dort gelten die Bedingungen von Google) und der Sync von Handy zu Handy über dein eigenes WLAN, der direkt zwischen deinen Handys läuft.

Heart enthält keine Werbe-SDKs, keine Analyse-SDKs und keine Crash-Reporter-SDKs, die Daten vom Gerät senden. Das Absturzprotokoll schreibt Heart mit eigenem Code in eine Datei, es ist also kein Reporter-SDK beteiligt.

6. Weitergabe von Daten

Du kannst deine Daten nur durch eine ausdrückliche eigene Handlung an Dritte weitergeben:

• · Export auf ein anderes Gerät. Erzeugt ein JSON-Paket, das du übertragen kannst.
• · Export als lokales Paket / Trainingsdaten / CSV. Erzeugt Dateien, die du speichern oder über das Teilen-Menü deines Betriebssystems weitergeben kannst.
• · Diagnose-Export. Fasst aktuelle technische Protokolle für Supportzwecke zusammen.
• · Als Story-Bild teilen. Teilt eine beendete Session oder die Tagesübersicht aus dem Brief-Tab als Bild. Du legst mit Schaltern fest, was darauf erscheint (Puls, Kalorien, Zeiten, Route). Eine Route wird im Umkreis deines Home-Standorts abgeschnitten.
• · Google-Drive-Backup. Nur wenn du es einschaltest. Kopiert dein Backup in dein eigenes Google-Konto.
• · Sync von Handy zu Handy. Nur wenn du ihn startest. Kopiert deine Daten über dein eigenes WLAN auf dein anderes Handy.

Es wird nichts verkauft, und keine Daten gehen an Werbetreibende, Versicherer oder Arbeitgeber. Deine Daten verlassen das Handy nur über die oben genannten Aktionen, die du jeweils selbst startest oder einschaltest.

7. Was du selbst steuern kannst

Unter Settings → Privacy & export kannst du jederzeit:

• → Anonymize exports, Crash reports opt-in und Outbound telemetry ein- oder ausschalten.
• → Auf ein anderes Gerät exportieren („Export to another device“): JSON-Paket mit Sitzungen und Schlafdaten.
• → Ein lokales Paket, Trainingsdaten oder CSV-Dateien exportieren.
• → Einen Diagnose-Export erstellen.
• → Den Herzfrequenzverlauf löschen („Clear heart-rate history“). Entfernt die aufgezeichneten HF-Messwerte und Schlafkorrekturen; Sitzungen und Einstellungen bleiben erhalten.
• → Alle Daten löschen („Delete all data“). Entfernt dauerhaft jeden Herzfrequenz-Messwert, jede Sitzung, Schlafkorrekturen, App-Einstellungen, Profil, gekoppelte Geräte und Absturzprotokolle von diesem Gerät. Diese Aktion kann nicht rückgängig gemacht werden.

Wenn du Heart deinstallierst, wird der App-Speicher entfernt. Backups in Download/Heart und, falls eingeschaltet, in Google Drive bleiben, bis du sie selbst löschst.

8. Kinder

Heart richtet sich nicht an Kinder unter 13 Jahren (oder unter dem entsprechenden Mindestalter in deinem Land). Die Referenznormen für Kalorien und HRV, die die App verwendet, sind für Kinder nicht validiert und können ungenaue Ergebnisse liefern. Diese Normen stammen aus Erwachsenenpopulationen.

10. Sicherheit

• · Unter Android 10 und neuer wird der Speicher vom Betriebssystem mithilfe der Anmeldedaten deiner Displaysperre hardwareverschlüsselt. Der Speicher unter iOS ist durch die Data-Protection-Klasse von iOS geschützt.
• · Heart hat keinen eigenen Server, der deine Daten empfängt. Die einzigen Kopien außerhalb des Handys sind die, die du selbst erzeugst: Exporte, geteilte Bilder, ein Google-Drive-Backup oder ein WLAN-Sync.
• · Eine Sicherheitsmeldung erreicht eine einzelne Person unter der Adresse in Abschnitt 12. Bitte schreib, bevor du etwas öffentlich machst, und rechne mit einer langsamen Antwort. Eine Bug-Bounty-Zahlung gibt es nicht.

11. Änderungen dieser Datenschutzerklärung

Wenn wir diese Datenschutzerklärung aktualisieren, ändern wir das Datum „Zuletzt aktualisiert“ oben. Bei wesentlichen Änderungen, die den Umfang der von Heart erhobenen Daten erweitern, zeigen wir die neue Erklärung beim nächsten Start in der App an.

12. Kontakt

Fragen, Anfragen zum Datenexport, Löschanfragen oder Sicherheitsmeldungen:

mail.roshankumargupta@gmail.com

Bei Sicherheitsmeldungen schreib bitte, bevor du das Problem öffentlich machst, damit es reproduziert und behoben werden kann.

13. Hinweise zu einzelnen Rechtsordnungen

• ·EWR / Vereinigtes Königreich (DSGVO / UK GDPR). Heart verarbeitet deine Gesundheits- und Standortdaten auf deinem eigenen Gerät. Übermittelt werden sie nur, wenn du ein Google-Drive-Backup oder den WLAN-Sync einschaltest oder selbst einen Export oder ein Bild teilst. Deine Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch behältst du uneingeschränkt; die meisten davon kannst du direkt über den Bildschirm Privacy & export in der App wahrnehmen.
• ·Kalifornien (CCPA / CPRA). Wir „verkaufen“ oder „teilen“ keine personenbezogenen Informationen im Sinne der Definitionen dieser Begriffe im CCPA / CPRA.
• ·Gesetze zu Gesundheitsdaten (HIPAA usw.). Heart ist eine Wellness-App für Verbraucher und keine unter HIPAA fallende Stelle („covered entity“). Daten, die du über Heart erfasst, sind keine geschützten Gesundheitsinformationen („protected health information“), es sei denn, du entscheidest dich, sie mit einer solchen Stelle zu teilen.