Data & Privacy Policy

Website

This website is served through Cloudflare (DNS, content delivery and security/DDoS protection) in front of our host render.com in Frankfurt, Germany (European Union). It uses no analytics or tracking scripts and sets no advertising or analytics cookies. Cloudflare may set a strictly necessary security cookie to tell human visitors from automated traffic.

On ordinary pages, Cloudflare and render.com process connection metadata such as your IP address to route, protect, and operate the site — on the basis of our legitimate interests in delivering and securing it (Art. 6(1)(f) GDPR); connection logs are kept only as long as needed for security and troubleshooting. The security cookie is strictly necessary (§ 25 (2) TDDDG). We use no forms, analytics services, advertising trackers, or marketing cookies there.

Your Ena data page. The optional Your Ena data page is different because it lets you sign in — with the same Google or Apple account as in the app. Auth0 (Okta, Inc.) receives your email, name, and sign-in identity from that provider. To keep that sign-in contained, the Auth0 client holds authentication tokens and identity claims in memory only — they survive neither a refresh nor a closed tab — and keeps the sign-in redirect state — plus, when you open the page from the app for an analytics-deletion request, the app-supplied Analytics IDs — only in the tab's temporary browser storage, which is discarded with the tab. Auth0's hosted login may set technically necessary sign-in cookies. Signing out clears the Auth0 client session from this site; you can also clear it through your browser's site-data controls, and the credentials expire according to the Auth0 session configuration. If you select an Ena backup on that page, the file and its decrypted contents stay in that browser tab and are never uploaded to us.

App

Version 1.1 · Last updated 8 September 2026

Your Data, Our Promise.

Your journal, moods, habits, goals, to-dos, and chat history live on your device. We do not store them on our servers.
No ads, no cross-app tracking, no selling of data. Your content is never used to train AI models. Optional internal product analytics is explained separately below.
Backups are encrypted, and the file never reaches our servers. Each backup is encrypted with a key that belongs to your account, so your backups open wherever you sign in with your Ena account — in the app on any device, and on our website's “Your Ena data” page. We store that key with your account and release it only over your authenticated session; because we never receive the backup file itself, the key alone gives us nothing to read. You can additionally protect an export with a password you choose — we never receive that password and cannot reset it.
AI processing needs your explicit consent — and you stay in control. AI consent is optional and separate from accepting the Terms. You can create an account and use local features without it. You can withdraw it at any time under Settings → Data & Privacy → Permissions & Protection: cloud AI features then stop while your local journal, planning, backups, and account controls remain available.
Internal product analytics are a separate choice. They are off by default and use only a few pseudonymous, content-free events to understand and improve Ena. They are never used for advertising or tracking across other apps or websites. Declining does not block onboarding, and you can grant or withdraw consent at any time under Settings → Data & Privacy. This choice never changes AI processing.
You can delete your account, local app data, and account-linked server data anytime, directly in the app (Settings → Account → Delete Account). Only a minimal 90-day deletion marker (pseudonymous ID) briefly remains — see “How long we keep data”.

Your data at a glance

An overview of where each kind of data lives — this table is only a summary; the sections further down explain every topic in detail. “Transiently on our servers” means our own backend holds the data in working memory (RAM) only for as long as the feature needs it — legally that still counts as processing, but nothing is written to our database or disks, and the data is gone when your request or session ends. “Never stored” means we keep no copy beyond, at most, that momentary in-memory handling. AI providers apply the limited retention described below.

Your data	On your device	On our servers	At AI providers
Journal entries, photos & voice notes	Yes — journal text app-encrypted; photos & voice notes under your device's system encryption	Never reach our servers — only what you submit to an AI journal feature (plus, for inspiration, short snippets of recent entries and Ena's memory notes) passes through, in memory only, and is never stored	Only with AI consent: content you submit to an AI journal feature (voice-to-journal, inspiration — inspiration also uses short snippets of recent entries and Ena's memory notes); provider retention below
Music tags (Spotify songs)	Saved with your entry	Search words are proxied to Spotify. Song references can accompany an entry submitted to a voice feature.	Music tags are not deliberately added to AI prompts. Song information included in your text is processed with that text.
Chat history & Ena's memory of you	Yes, encrypted	In memory during your session only (wiped within ~10 minutes of disconnecting); once more briefly right after a session ends, to distill short continuity notes	Processed to generate replies; provider retention below
Voice messages	Converted to text, kept like chat	Transiently	Processed for transcription and as text; provider retention below
Mood ratings	Yes, encrypted	Never stored — while you chat, your last 10 ratings (at most 2 months back) and monthly averages (at most 6 months back) — numbers only — are held in memory only, to help Ena match your tone	Processed as chat context; provider retention below
Habits, goals, to-dos	Yes, encrypted	Temporarily for daily letters and AI features you use; relevant input and item context	Relevant input and context, with AI consent; provider retention below
Calendar items (optional sync)	Selected calendar events are copied into local to-dos; Ena can also write selected Ena items to that calendar	Imported task information may be used for daily letters or relevant AI assistance. Calendar sync itself stays device-side.	Relevant imported task information, with AI consent
Email address, name & chosen display name	Chosen display name and securely stored sign-in credentials, which can contain email/name claims	The address itself: never stored — at most processed briefly in memory. We keep only a pseudonymous ID and, where needed (your backup key, trust reports, account deletion), a one-way hash of your email. Your display name is held in memory only while you're connected; emails you send us stay in our mailbox (see Support)	Chosen display name for personalization. Login email and provider profile name are not deliberately added to AI prompts; information in your messages is processed with them.
AI-processing consent record	Current status cached	Pseudonymous account ID, grant/withdrawal, wording + policy version, locale and timestamps; deleted with your account	Never
Optional internal product analytics	Your choice is cached; recent random Analytics IDs retained securely for access/deletion requests	Your account-wide consent choice is linked to your Ena account; allowlisted events remain pseudonymous and unlinked to the account and are processed by PostHog EU Cloud only to understand and improve Ena	Never
Purchases	—	Subscription tier, credit balance and credit transaction/retry records while your account exists; detailed provider usage for 180 days, then monthly totals for the current and previous 23 months. No conversation content.	Never
Trust reports (optional)	—	Only if you file one — coded quality signals plus your optional comment, based on your consent; auto-deleted after 6 months	Never
Backups	Encrypted before export — your journal photos and voice recordings are included by default (you can exclude them per export; included media is always encrypted); you decide where the file goes. Optionally also protected by a password you choose	The file: never reaches our servers. Your account's backup key: stored with your account so your own devices and our website can open your backups after sign-in; deleted with your account	Never

On your device, all app data is encrypted at rest by iOS/Android (tied to your device passcode). Your journal texts, moods, habits and goals additionally carry a second, app-managed layer of AES-256 encryption; photos, voice notes and your chat history are protected by your device's system encryption, and you can lock the app with Face ID or your fingerprint. Backup files carry their own encryption layer (AES-256-GCM), unlocked by your account's backup key after sign-in or by the optional password you choose for that export. The app fetches the account backup key only for the current export/import operation and does not save it on the phone. Your password is never sent to us.

Who is responsible

The controller (Art. 4(7) GDPR) is Dr. rer. nat. Yassin Mousa, Keplerstraße 16, 93047 Regensburg, Germany (see Legal Notice). Contact: support@talktoena.com.

What Ena is

Ena is an AI mentor built for mindful living. It brings together guided conversations, a journal, and mood and progress tracking, all wired together to help you reflect, build habits, and move toward your goals. Because what you share can touch on how you're feeling, some of it may be health-related data under Art. 9 GDPR. We process such content only to provide Ena to you, based on the explicit consent you give during onboarding (and can withdraw at any time in Data & Privacy) — never for advertising or for any purpose beyond the app's own features. You may withdraw that consent without losing the app's local journal and planning tools. Ena works alongside your wellbeing, never in place of professional care; it is not a medical device and not a substitute for therapy or medical advice.

What we process, and where it lives

Account, consent and age-assurance records. Sign-in is handled by Auth0 (Okta, Inc.) through your Google or Apple account — Ena has no password of its own, and we never receive one. Your chosen sign-in provider confirms your identity to Auth0 and learns that your account signs in to Ena; with Apple you can hide your real email address. On our own server we store a pseudonymous account ID (your Auth0 user ID), your subscription status, and append-only records of your Terms acceptance and grants or withdrawals of AI-processing and optional-analytics consent. We also record that you separately confirmed Ena’s minimum age of 18. That age record contains the minimum age, statement identifier, locale, and server/device timestamps — never your birth date. The legal and consent records contain the applicable wording or document versions, locale, source, and server/device timestamps so we can demonstrate your choices; they contain no journal or conversation content. We do not store your email address or name; they are held for us by Auth0, our sign-in service, where we can look the address up to send you important service or legal notices — never marketing without your separate consent. We reserve a one-way hash of verified sign-in emails to prevent a second identity from using the same email for another Ena account; these claims are deleted with the account. Where something must be matched to you without our knowing who you are (your account's backup key, trust reports, account deletion), we use a one-way hash of your email — never the address itself. Separately, you choose a display name during onboarding for Ena to address you by: it is stored on your device, included in your backups, and sent to our server when you connect, where it is held in working memory only to personalize replies — never written to our database. And if we ever have to enforce our Terms, we record account sanctions — whether a warning or a suspension applies, a short staff-written note, who issued it, and timestamps; sanctions are decided by a human and deleted with your account.

Conversations. Your chat history is stored on your device. While you chat, messages travel over an encrypted connection to our server, which holds the conversation in memory for your session only — transcripts are never saved to our database. When a session ends, the app once sends the recent conversation back so our server can distill brief continuity notes for your device (they help the daily letters and let Ena sense how you have been arriving lately); this pass is processed in memory like chat and never stored. And if Ena's memory notes for a past session ever need rebuilding (for example after a reconnect), the app sends that one session's messages once for the same in-memory processing — never your whole history. To generate replies, your messages and Ena's memory notes are processed by AI providers working as our processors under our instructions (currently OpenAI and Google; Microsoft Foundry may also be used). Their business/API services do not use this data to train foundation models unless we instruct or permit them to do so, which we do not. Processing may take place outside the EU (for example in the US) under EU-approved safeguards (Standard Contractual Clauses and, where applicable, the EU–US Data Privacy Framework).

Operational access. Authorized administrators can access live session content and context through restricted service tools when needed to operate the service or investigate a problem. Diagnostic logs do not record that private content. We do not use live access to build a permanent conversation archive.

AI-provider retention and caching. Provider-side handling lasts longer than our own in-memory server session in some cases. For OpenAI text requests, Ena explicitly disables OpenAI's optional response storage, where supported. This does not disable provider abuse monitoring or technical caching: OpenAI's default abuse-monitoring logs may contain prompts and responses normally for up to 30 days, with legal or safety exceptions; encrypted prompt-cache state may remain on local GPU infrastructure for up to 24 hours. OpenAI currently lists no abuse-monitoring or application-state retention for the audio-transcription endpoint. Google Vertex AI may keep project-isolated inputs, outputs, and derived data in an in-memory performance cache for up to 24 hours; Ena may additionally create an explicit context cache with a one-hour expiry, and Google may log prompts for abuse monitoring under its Cloud terms. Microsoft Foundry, where used, performs automated safety/abuse review; content selected because it indicates potentially severe or recurring abuse may be stored for authorized human review under Microsoft's published controls. These providers may use Ena content to train their foundation models only with our permission — a permission we do not give and will not give.

Journal, moods, habits, goals and to-dos. Local editing stores your content on your device. With AI-processing consent, the features below also use the relevant content:

Chat uses your messages, Ena’s memory notes and chosen display name, your last 10 daily mood ratings from at most two months, and monthly mood averages from at most six months.
Daily letters use a snapshot of habits, goals and tasks, including calendar information imported into those tasks, plus brief notes about earlier letters and conversations.
Journal inspiration uses up to three short excerpts from recent entries and Ena’s memory notes.
Voice and other AI creation or assistance features use what you submit and context from the screen or item you are working with. This can include journal answers, moods, custom category names and details of habits, goals or tasks.

Our server processes this content temporarily; provider retention is explained above. Ordinary local editing and calendar synchronization do not by themselves send the content to AI providers.

Calendar sync. Calendar integration is optional and starts only after you grant the operating-system permission and select a calendar. Depending on the direction you choose, Ena reads event titles, notes, times, and duration from that calendar into encrypted local to-dos, and/or writes selected Ena task, habit, and goal details to that calendar — and removes entries it previously wrote when they no longer apply. Calendar sync by itself does not send those items to our server. If you request a daily letter while AI processing is allowed, the local to-do snapshot sent as letter context can include information imported from your calendar. The selected calendar may be backed by iCloud, Google Calendar, Microsoft Exchange/Outlook, or another provider, which processes items written to that calendar under its own terms.

Voice. Voice messages are transcribed via OpenAI speech-to-text and processed like a typed message. Audio is not stored on our server.

Photos & voice recordings. Photos and voice recordings you attach to journal entries stay in the app's private storage on your device and are never uploaded to our server. Only what you actively submit to an AI journal feature (for example voice-to-journal) is processed as described above.

Purchases. Apple or Google processes your payment; Ena does not receive your payment-card details. RevenueCat manages subscriptions and credit balances for us. It receives your pseudonymous account ID, purchase and receipt information, and technical app, device and connection information needed for its service. We do not send it journal or chat content or deliberately set your email or name as customer attributes. Account deletion removes our account-linked credit and purchase records and requests erasure of the RevenueCat customer; it does not cancel your store subscription. Apple and Google retain their own transaction records under their policies and legal obligations.

Backups. Backups are encrypted with AES-256-GCM before export. You choose where to save them; the file is never uploaded to Ena. Journal photos and voice recordings are included by default. If you exclude them, only their references are included, so the backup cannot restore those files by itself.

Normally, the app obtains a backup key from our server after sign-in. The key belongs to your original Ena account; matching another account’s verified email does not grant access. We store the key with that account ID and a one-way email hash. Because we hold the key, this is not strict end-to-end encryption: someone with both your file and the key could read the backup.

You can add a password when exporting. It creates an alternative way to unlock the file; the account key can still unlock it without the password. The password wraps a copy of the encryption key using PBKDF2. For account-key backups, someone with one such file and its password could recover the shared account key and open other backups using it. We never receive your password and cannot reset it.

If the app cannot obtain the account key, it can export a password-only backup using a key created for that file. Signing in later will not unlock that file without its password. The app and Your Ena data page require an Ena sign-in; a password can unlock the file even with a different or new account. The website decrypts locally in your browser.

Deleting the account removes its server-held backup key. A backup that depends on that key becomes unreadable. A password-enabled backup can still be opened with its password. Keep the file and a working way to unlock it.

Trust reports. If you choose to report a conversation, we receive coded quality signals (no message text), your optional comment, and your consent timestamp. Reports auto-delete after 6 months; you can request earlier deletion in the app or at talktoena.com/data.

Support. If you email us, we process your message to help you and delete the correspondence after 12 months. Email to our @talktoena.com addresses is received by our domain provider united-domains (Germany, EU), which forwards it — without keeping mailboxes for us — to our mailbox at Proton (Switzerland).

What we deliberately don't collect: no advertising ID, advertising SDK, cross-app tracker, crash-reporting SDK, location, or contacts. The only internal-product-analysis SDK is the optional, strictly limited PostHog integration described below. Notifications are scheduled locally on your device — no push tokens are sent to any server. Song searches are proxied through our server, so the search itself reaches Spotify without your identity or IP address; album artwork, however, loads directly from Spotify's image servers, which — like any image host — see your device's IP address. Standalone inspirations are original Ena writing bundled with the app and contact no quote provider. If the app cannot reach our server, it periodically makes a content-free connectivity check against your platform's standard endpoint (Apple on iOS, Google on Android) to tell whether your device is offline or our server is down — we add no Ena account identifier; the destination receives network metadata such as your IP address. If Ena ever shows you crisis resources, the link opens findahelpline.com in your browser; like any website you visit, it then sees your IP address — we send it nothing about you.

Optional internal product analytics. If you separately opt in, the mobile app uses PostHog EU Cloud to record only: app opened; onboarding completed; one of habits, goals, journal, or chat opened; an item created or completed with only that feature category; a chat started; a paywall viewed with a fixed, non-sensitive source category; and a subscription started with only the normalized plan tier. We use these events only for internal product analysis to understand and improve Ena — never for advertising, marketing profiles, or tracking across other apps or websites. Your grant or withdrawal is recorded in Ena's account consent ledger so the choice applies across your devices. This account-level choice is not joined to the analytics events. PostHog receives only a random SDK-generated identifier for the opted-in app installation, so these events are pseudonymous, not anonymous. We never call PostHog's identify function and never send an Auth0 or account ID, email, name, advertising ID, journal or chat text, habit or goal title, mood or health/emotional value, sensitive URL, transaction ID, or other user-generated content. Session replay, touch and screen autocapture, automatic app-lifecycle capture, GeoIP, person profiles, surveys, and remote feature-flag requests are disabled.

Like any internet service, PostHog necessarily receives the source IP long enough to accept and route the encrypted network request. GeoIP enrichment and raw-IP retention are disabled; we do not claim the IP is never processed in transit. PostHog acts as our processor in its EU-hosted environment in Frankfurt. Analytics are off unless you consent. Declining has no effect on onboarding or app features, and withdrawal under Settings → Data & Privacy stops future capture immediately without changing your AI-processing choice. Previously collected pseudonymous events remain only for the configured retention period, no longer than 12 months, unless you request earlier deletion on the Your Ena data page.

Who we work with

Every external service that plays a role in Ena, what it does for us, and what it receives. Each name links to that provider's own privacy policy.

Provider	What they do for Ena	What they receive	Where
Render	Runs our server and this website	The server-side data described on this page	Frankfurt, Germany (EU)
Cloudflare	DNS, content delivery (CDN) and security/DDoS protection in front of our website and API	Connection metadata, including your IP address, and the traffic passing to our servers — to route and protect requests; never used for advertising	USA (global edge, incl. EU; DPF / SCCs)
Auth0 (an Okta company)	Handles your sign-in; stores your sign-in email and name for us	Email, name, sign-in identity from your Google or Apple sign-in	EU tenant; provider processing may also occur elsewhere
Your sign-in provider (Google or Apple)	Confirms your identity when you sign in	Learns that your account signs in to Ena and passes your email, name, and account identifier to Auth0; Apple lets you hide your email	According to your Google/Apple account
OpenAI	Generates Ena's replies; transcribes voice messages	Conversation content and context; text may remain in abuse-monitoring logs for up to 30 days and encrypted prompt cache for up to 24 hours; not used for model training	USA
Google Vertex AI	AI processing for parts of Ena's replies and features	Conversation or feature context; project-isolated in-memory cache up to 24 hours, Ena explicit context cache up to one hour, and possible abuse-monitoring prompt logs; not used for model training	Global endpoint; processing may occur outside the EU
Microsoft Foundry	Alternative AI processing where configured	Conversation or feature context; automated safety review and possible storage of flagged samples for authorized abuse review; not used for model training	Azure deployment geography; global processing where configured
RevenueCat	Manages subscriptions & credits	Pseudonymous account ID, purchases/receipts, credit balances and technical app/device/connection information; no journal or chat content	USA
Expo (EAS Update)	Delivers app updates when the app launches	Device and runtime metadata plus a persistent update-client ID — no content, no account identity	USA (DPF / SCCs)
PostHog	Processes optional, consent-based internal product analytics for the mobile app	Allowlisted product-use events and a random app-installation ID; no account identity or user content. The events are used only to understand and improve Ena, never for advertising or cross-app/site tracking. The request IP and app network metadata reach the service in transit, while GeoIP and raw-IP retention are disabled	EU Cloud, Frankfurt, Germany
Apple / Google Play	Process payments as the merchant	Payment data — under their own terms; we never see it	—
Your selected calendar provider (for example Apple, Google, or Microsoft)	Stores the calendar you optionally connect through your device	Ena items written to that calendar, including their title, notes, and schedule; they already hold events Ena reads from that calendar	According to your calendar account and provider
Spotify	Song search for journal music tags	Your search words — sent anonymously via our server (no identity, no IP). Album covers load directly from Spotify's image servers when search results or tagged songs are displayed, so Spotify then sees your IP address	EU/USA
united-domains	Our domain registrar; receives email for @talktoena.com and forwards it to our mailbox	Emails you send us — in transit, no mailbox kept	Germany (EU)
Proton	Hosts the mailbox our email is forwarded to (support@talktoena.com)	What you write us by email	Switzerland (EU adequacy)

For providers outside the EU/EEA we rely on EU Standard Contractual Clauses and/or the EU–US Data Privacy Framework. You can obtain a copy of the relevant safeguards by writing to privacy@talktoena.com.

Legal bases

Providing the account, purchases, backups, and local app tools: Art. 6(1)(b) GDPR (the AI conversation itself runs on the consent below). Personalized AI processing, including content that may reveal health-related information: your explicit consent under Art. 6(1)(a) and Art. 9(2)(a). AI consent is optional, separate from Terms acceptance, and can be withdrawn at any time under Data & Privacy. Local journal and planning features and account/data tools remain available without it. Optional PostHog internal product analytics for the mobile app: your separate consent under Art. 6(1)(a), given during onboarding or later under Data & Privacy. Withdrawing a consent stops the corresponding future processing without affecting the lawfulness of processing before withdrawal, and the mobile-analytics and AI choices never control one another. Usage metering needed to account for your included usage and purchases: Art. 6(1)(b). Service security, app-update delivery (Expo EAS Update), the website's connection data, and the 90-day deletion marker: our legitimate interests in keeping the service secure and reliable, Art. 6(1)(f), balanced against data minimization and short retention. Records of your Terms acceptance, consents, and age confirmation: our accountability duties, Art. 6(1)(c) in conjunction with Art. 5(2) and Art. 7(1), and our legitimate interests in being able to demonstrate them, Art. 6(1)(f). Support requests: Art. 6(1)(b); please avoid health details in support email. If they are needed, we ask for explicit consent before processing them for support (Art. 9(2)(a)); sending an email alone is not treated as that consent. Enforcing our Terms (warnings, suspensions): Art. 6(1)(b) and (f). Trust reports: your explicit consent given when filing, Art. 6(1)(a) and — because a comment may touch on your wellbeing — Art. 9(2)(a). What you must provide: to use Ena you need a Google or Apple sign-in, acceptance of our Terms, confirmation that you are at least 18. AI processing requires its separate consent; it is not required for local features. Everything else (analytics, calendar access, letters, backups, trust reports) is optional, and declining never limits the rest of the app.

Accountability and governance

We maintain a written inventory of Ena's processing activities, including purposes, data categories, recipients, international transfers, retention periods, and security measures. We review that inventory, this notice, and the relevant risks whenever a feature or provider changes. Processing that may create a high risk to people's rights is assessed before it is released, and access to operational systems is restricted to people who need it to operate or secure Ena.

We document suspected personal-data incidents and assess their likely impact. Where the GDPR requires notification, we notify the competent supervisory authority without undue delay and, where feasible, within 72 hours after becoming aware of the breach; where a breach is likely to create a high risk, we also inform affected people as required by law.

Security

Your journal texts, moods, habits and goals are encrypted at rest with an app-managed AES-256 key, generated on your device and held in the iOS Keychain / Android Keystore; photos, voice notes and chat history are protected by your device's system encryption, tied to your passcode. Backups are encrypted with your account's backup key (stored on our servers, released only to your authenticated sessions; the backup file itself never reaches us) and optionally with a password you choose at export, which we never receive and cannot reset. You can lock the app with Face ID or fingerprint. All connections use TLS.

How long we keep data

Device and calendar content stays under your control and your calendar provider’s settings. Sign-in tokens on Your Ena data are held in memory and cleared on refresh, tab close or sign-out; temporary redirect state and app-supplied Analytics IDs use tab storage.

Our server clears chat working memory within about 10 minutes after disconnection, or immediately on consent withdrawal. Diagnostic output does not contain private message, journal, prompt or transcription content. Voice transcription is uploaded from memory without a server audio file.

Account deletion immediately removes our account-linked content, credit and purchase records, consent records and backup keys. There is no retained credit-recovery balance. We request erasure at RevenueCat and Auth0 and automatically retry temporary failures. While this is unfinished, we retain only the account identifier and technical deletion status needed to complete it, and block re-registration of that identity. The minimal deletion marker is automatically removed 90 days after the original account deletion. Provider retries do not restart that period. An unfinished erasure request remains pending until it can be completed; if that takes longer than 90 days, its marker is removed as soon as completion is confirmed. A scheduled worker checks each minute and at server startup. Store subscriptions and Apple/Google transaction records are handled separately by those stores.

Credit transaction and retry records are retained while the account exists to keep balances accurate and prevent duplicate charges; account deletion erases them. Detailed account-linked provider-usage events: 180 days, then monthly totals for the current month and previous 23 months. A daily server sweep removes records due for deletion, including after restart. Account deletion removes both sooner. Trust reports: six months, or normally within a day of a deletion request. Optional pseudonymous PostHog product events: at most 12 months, or until PostHog completes an earlier deletion request. Support correspondence: 12 months. AI providers apply the retention rules explained above.

Your rights

You have the rights of access, rectification, erasure, restriction, portability, and objection (Art. 15–21 GDPR). The fastest way to exercise them is the Your Ena data page and the in-app controls; for anything else, email privacy@talktoena.com — the address we monitor for the legal response deadline. Requests that reach us another way count too; this address just gets you the fastest answer. Open Your Ena data from Settings → Data & Privacy in the app, then sign in: the downloadable ZIP includes account-linked server data and a separate posthog/tracking-data.json file for the Analytics IDs held by that app installation. The page also has a Delete internal product analytics data button, which queues asynchronous erasure of those PostHog persons and events. Withdraw AI-processing consent under Settings → Data & Privacy → Permissions & Protection. Withdraw optional internal product analytics under Settings → Data & Privacy; future PostHog capture stops immediately. To delete your Ena account, local app data, and account-linked data on our servers, use Settings → Account → Delete Account; the app also submits its retained Analytics IDs for PostHog erasure. If you cannot use the app — for example while an account is suspended — email privacy@talktoena.com from your sign-in address and we will carry out the deletion; a suspension never blocks your data rights. If you no longer have the app installation that created an Analytics ID, contact us and provide any information you still hold that may help locate the data. You may also lodge a complaint with any supervisory authority, in particular where you live or work — for us, the Bavarian Data Protection Authority (BayLDA), Ansbach (lda.bayern.de).

Right to object (Art. 21 GDPR): where we process data based on legitimate interests (for example service security, app-update delivery, the website's connection data, the deletion marker, or our accountability records) you can object at any time for reasons arising from your particular situation by emailing privacy@talktoena.com; we then stop unless compelling legitimate grounds prevail. The same address handles rectification, restriction, and portability requests.

One standard, worldwide

We apply the safeguards described here to all Ena users. The GDPR applies to our processing as a provider established in Germany. Additional rights under your local law remain unaffected. For users in the United States, including California: we do not sell or share your personal information (as those terms are defined in the CCPA/CPRA), we do not use it for targeted advertising, and we never discriminate for exercising privacy rights. You may use an authorized agent for any request. Health-related content is sensitive personal information under the CPRA; we use it only to provide Ena, never to infer characteristics for other purposes. Access, export, and deletion work for everyone through the same tools — the Your Ena data page and in-app account deletion. Ena is not directed at children and requires a minimum age of 18.

AI transparency

Ena's replies are generated by artificial intelligence, and the app tells you so when you first meet Ena (Art. 50 EU AI Act). Ena makes no automated decisions with legal or similarly significant effect about you; account measures such as suspensions are decided by a human.

Changes

We update this policy when the app's data handling changes and adjust the date above. Material changes are announced in the app.

Contact

If you have questions, reach out at support@talktoena.com.

Daten- & Datenschutzrichtlinie

Website

Diese Website wird über Cloudflare (DNS, Content-Auslieferung und Sicherheits-/DDoS-Schutz) ausgeliefert, das unserem Hoster render.com in Frankfurt (Deutschland, EU) vorgeschaltet ist. Sie nutzt keine Analyse- oder Tracking-Skripte und setzt keine Werbe- oder Analyse-Cookies; Cloudflare kann ein technisch notwendiges Sicherheits-Cookie setzen, um menschliche Besucher von automatisiertem Datenverkehr zu unterscheiden.

Auf den gewöhnlichen Seiten verarbeiten Cloudflare und render.com Verbindungsmetadaten wie deine IP-Adresse, um die Website auszuliefern, zu schützen und zu betreiben — auf Grundlage unserer berechtigten Interessen an einer sicheren Auslieferung (Art. 6 Abs. 1 lit. f DSGVO); Verbindungsprotokolle werden nur so lange gehalten, wie es Sicherheit und Fehlersuche erfordern. Das Sicherheits-Cookie ist unbedingt erforderlich (§ 25 Abs. 2 TDDDG). Dort verwenden wir keine Formulare, Analysedienste, Werbe-Tracker oder Marketing-Cookies.

Seite „Deine Ena-Daten“. Die optionale Seite Deine Ena-Daten ist anders, weil du dich dort anmelden kannst — mit demselben Google- oder Apple-Konto wie in der App. Auth0 (Okta, Inc.) erhält von diesem Anbieter deine E-Mail-Adresse, deinen Namen und deine Anmeldeidentität. Um die Anmeldung eng zu begrenzen, hält der Auth0-Client Authentifizierungs-Tokens und Identitätsangaben nur im Arbeitsspeicher — sie überstehen weder einen Seiten-Reload noch das Schließen des Tabs — und legt den Zustand der Anmeldeweiterleitung — sowie, wenn du die Seite aus der App für einen Analyse-Löschantrag öffnest, die von der App übergebenen Analytics-IDs — nur im temporären Speicher des Browser-Tabs ab, der mit dem Tab verworfen wird. Die von Auth0 gehostete Anmeldung kann technisch notwendige Anmelde-Cookies setzen. Beim Abmelden wird die Auth0-Client-Sitzung auf dieser Website gelöscht; du kannst sie außerdem über die Website-Daten deines Browsers entfernen, und die Zugangsdaten laufen gemäß der Auth0-Sitzungskonfiguration ab. Wenn du dort ein Ena-Backup auswählst, bleiben die Datei und ihre entschlüsselten Inhalte in diesem Browser-Tab und werden nie zu uns hochgeladen.

App

Version 1.1 · Stand: 8. September 2026

Deine Daten, unser Versprechen.

Dein Tagebuch, deine Stimmungen, Gewohnheiten, Ziele, To-dos und dein Chatverlauf bleiben auf deinem Gerät. Wir speichern sie nicht auf unseren Servern.
Keine Werbung, kein appübergreifendes Tracking, kein Datenverkauf. Deine Inhalte werden niemals zum Training von KI-Modellen verwendet. Die optionale interne Produktanalyse wird weiter unten gesondert erläutert.
Backups sind verschlüsselt, und die Datei erreicht unsere Server nie. Jedes Backup wird mit einem Schlüssel verschlüsselt, der zu deinem Konto gehört — deine Backups öffnen sich überall dort, wo du dich mit deinem Ena-Konto anmeldest: in der App auf jedem Gerät und auf der Seite „Deine Ena-Daten“ unserer Website. Diesen Schlüssel speichern wir bei deinem Konto und geben ihn nur über deine authentifizierte Sitzung heraus; da wir die Backup-Datei selbst nie erhalten, gibt uns der Schlüssel allein nichts zu lesen. Zusätzlich kannst du einen Export mit einem selbst gewählten Passwort schützen — dieses Passwort erhalten wir nie und können es nicht zurücksetzen.
KI-Verarbeitung braucht deine ausdrückliche Einwilligung — und du behältst die Kontrolle. Die KI-Einwilligung ist freiwillig und von der Zustimmung zu den Nutzungsbedingungen getrennt. Du kannst ein Konto erstellen und lokale Funktionen ohne sie nutzen. Du kannst sie unter Einstellungen → Daten & Datenschutz → Berechtigungen & Schutz jederzeit widerrufen: Cloud-KI-Funktionen enden dann, während dein lokales Journal, deine Planung, Backups und die Kontoverwaltung verfügbar bleiben.
Interne Produktanalyse ist eine gesonderte Entscheidung. Sie ist standardmäßig aus und nutzt nur wenige pseudonyme, inhaltsfreie Ereignisse, um Ena zu verstehen und zu verbessern. Sie wird niemals für Werbung oder Tracking über andere Apps oder Websites hinweg verwendet. Eine Ablehnung blockiert das Onboarding nicht, und du kannst unter Einstellungen → Daten & Datenschutz jederzeit einwilligen oder widerrufen. Diese Entscheidung ändert die KI-Verarbeitung nie.
Du kannst dein Konto, die lokalen App-Daten und kontobezogene Serverdaten jederzeit löschen, direkt in der App (Einstellungen → Konto → Konto löschen). Nur eine minimale 90-Tage-Löschmarkierung (pseudonyme ID) bleibt kurz bestehen — siehe „Wie lange wir Daten aufbewahren“.

Deine Daten auf einen Blick

Ein Überblick, wo welche Daten liegen — diese Tabelle ist nur eine Zusammenfassung; die Abschnitte weiter unten erklären jedes Thema im Detail. „Transient auf unseren Servern“ bedeutet, dass unser eigenes Backend die Daten nur so lange im Arbeitsspeicher (RAM) hält, wie die Funktion es erfordert — rechtlich ist auch das eine Verarbeitung, aber nichts wird in unsere Datenbank oder auf Datenträger geschrieben, und mit dem Ende deiner Anfrage bzw. Sitzung sind die Daten weg. „Nie gespeichert“ bedeutet, dass wir über diese allenfalls kurzzeitige Verarbeitung im Arbeitsspeicher hinaus keine Kopie behalten. Für KI-Anbieter gelten die unten beschriebenen begrenzten Aufbewahrungszeiten.

Deine Daten	Auf deinem Gerät	Auf unseren Servern	Bei KI-Anbietern
Tagebucheinträge, Fotos & Sprachnotizen	Ja — Tagebuchtexte App-verschlüsselt; Fotos & Sprachnotizen unter der Systemverschlüsselung deines Geräts	Erreichen unsere Server nicht — nur was du an eine KI-Tagebuchfunktion sendest (bei Inspirationen zusätzlich kurze Ausschnitte jüngster Einträge und Enas Erinnerungsnotizen), durchläuft kurz den Arbeitsspeicher und wird nie gespeichert	Nur mit KI-Einwilligung: Inhalte, die du an eine KI-Tagebuchfunktion sendest (Sprache-zu-Tagebuch, Inspiration — Inspirationen nutzen zusätzlich kurze Ausschnitte jüngster Einträge und Enas Erinnerungsnotizen); Aufbewahrung siehe unten
Musik-Tags (Spotify-Songs)	Mit deinem Eintrag gespeichert	Suchbegriffe werden an Spotify weitergeleitet. Song-Verweise können einen an eine Sprachfunktion gesendeten Eintrag begleiten.	Musik-Tags werden nicht gezielt in KI-Prompts eingefügt. Song-Angaben in deinem Text werden mit diesem verarbeitet.
Chatverlauf & Enas Erinnerungen an dich	Ja, verschlüsselt	Nur im Arbeitsspeicher während deiner Sitzung (innerhalb von ~10 Minuten nach der Trennung gelöscht); direkt nach dem Sitzungsende noch einmal kurz, um kurze Kontinuitätsnotizen zu destillieren	Zur Erzeugung von Antworten verarbeitet; Aufbewahrung siehe unten
Sprachnachrichten	In Text umgewandelt, wie Chat gespeichert	Transient	Zur Transkription und anschließend als Text verarbeitet; Aufbewahrung siehe unten
Stimmungswerte	Ja, verschlüsselt	Nie gespeichert — während du chattest, werden deine letzten 10 Bewertungen (aus höchstens 2 Monaten) und Monatsdurchschnitte (aus höchstens 6 Monaten) — nur Zahlen — ausschließlich im Arbeitsspeicher gehalten, damit Ena deinen Ton trifft	Als Chat-Kontext verarbeitet; Aufbewahrung siehe unten
Gewohnheiten, Ziele, To-dos	Ja, verschlüsselt	Vorübergehend für Briefe und genutzte KI-Funktionen; relevante Eingaben und Elementkontext	Relevante Eingaben und Kontext mit KI-Einwilligung; Aufbewahrung siehe unten
Kalendereinträge (optionale Synchronisierung)	Ausgewählte Kalenderereignisse werden in lokale To-dos kopiert; Ena kann ausgewählte Ena-Inhalte auch in diesen Kalender schreiben	Importierte Aufgabenangaben können in Briefe oder passende KI-Unterstützung einfließen. Die Synchronisierung selbst erfolgt auf dem Gerät.	Relevante importierte Aufgabenangaben mit KI-Einwilligung
E-Mail-Adresse, Name & gewählter Anzeigename	Gewählter Anzeigename und sicher gespeicherte Anmeldedaten, die E-Mail-/Namensangaben enthalten können	Die Adresse selbst: nie gespeichert — höchstens kurz im Arbeitsspeicher verarbeitet. Wir behalten nur eine pseudonyme ID und, wo nötig (dein Backup-Schlüssel, Trust-Meldungen, Kontolöschung), einen Einweg-Hash deiner E-Mail-Adresse. Dein Anzeigename wird nur im Arbeitsspeicher gehalten, während du verbunden bist; E-Mails an uns liegen in unserem Postfach (siehe Support)	Gewählter Anzeigename zur Personalisierung. Anmelde-E-Mail und Provider-Profilname werden nicht gezielt in KI-Prompts eingefügt; Angaben in deinen Nachrichten werden damit verarbeitet.
Einwilligungsnachweis zur KI-Verarbeitung	Aktueller Status zwischengespeichert	Pseudonyme Konto-ID, Einwilligung/Widerruf, Text- und Richtlinienversion, Sprache und Zeitstempel; Löschung mit deinem Konto	Nie
Optionale interne Produktanalyse	Einwilligungsstatus und kürzlich verwendete zufällige Analytics-IDs, sicher für Auskunfts- und Löschanträge aufbewahrt	Deine kontoweite Einwilligungsentscheidung ist mit deinem Ena-Konto verknüpft; die erlaubten Ereignisse bleiben pseudonym und ohne Kontoverknüpfung und werden von PostHog EU Cloud ausschließlich verarbeitet, um Ena zu verstehen und zu verbessern	Nie
Käufe	—	Abo-Stufe, Guthaben sowie Guthabenbuchungen und Wiederholungsnachweise während der Kontolaufzeit; detaillierte Anbieternutzung für 180 Tage, danach Monatssummen für den laufenden und die vorherigen 23 Monate. Keine Gesprächsinhalte.	Nie
Trust-Meldungen (optional)	—	Nur wenn du eine einreichst — codierte Qualitätssignale plus dein optionaler Kommentar, auf Basis deiner Einwilligung; automatische Löschung nach 6 Monaten	Nie
Backups	Vor dem Export verschlüsselt — deine Tagebuchfotos und Sprachaufnahmen sind standardmäßig enthalten (pro Export abwählbar; enthaltene Medien sind immer verschlüsselt); du entscheidest, wo die Datei liegt. Optional zusätzlich mit einem selbst gewählten Passwort geschützt	Die Datei: erreicht unsere Server nie. Der Backup-Schlüssel deines Kontos: bei deinem Konto gespeichert, damit deine eigenen Geräte und unsere Website deine Backups nach der Anmeldung öffnen können; wird mit deinem Konto gelöscht	Nie

Auf deinem Gerät sind alle App-Daten durch iOS/Android verschlüsselt (an deinen Gerätecode gebunden). Tagebuchtexte, Stimmungen, Gewohnheiten und Ziele tragen zusätzlich eine zweite, App-eigene AES-256-Verschlüsselungsschicht; Fotos, Sprachnotizen und dein Chatverlauf sind durch die Systemverschlüsselung deines Geräts geschützt, und du kannst die App mit Face ID oder deinem Fingerabdruck sperren. Backup-Dateien haben eine eigene Verschlüsselungsschicht (AES-256-GCM), die durch den Backup-Schlüssel deines Kontos nach der Anmeldung oder durch das optionale, für diesen Export gewählte Passwort geöffnet wird. Die App lädt den Kontoschlüssel nur für den jeweiligen Export- oder Importvorgang und speichert ihn nicht auf dem Telefon. Dein Passwort wird nie an uns übertragen.

Wer verantwortlich ist

Verantwortlicher (Art. 4 Nr. 7 DSGVO): Dr. rer. nat. Yassin Mousa, Keplerstraße 16, 93047 Regensburg, Deutschland (siehe Impressum). Kontakt: support@talktoena.com.

Was Ena ist

Ena ist eine KI-Mentorin für ein achtsameres Leben. Ena vereint geführte Gespräche, ein Tagebuch sowie Stimmungs- und Fortschritts-Tracking — miteinander verbunden, damit du reflektieren, Gewohnheiten aufbauen und deinen Zielen näherkommen kannst. Weil das, was du teilst, dein Befinden betreffen kann, können darunter gesundheitsbezogene Daten im Sinne von Art. 9 DSGVO sein. Wir verarbeiten solche Inhalte ausschließlich, um dir Ena bereitzustellen — auf Grundlage deiner ausdrücklichen Einwilligung beim Onboarding (jederzeit widerrufbar unter Daten & Datenschutz) — niemals für Werbung oder für Zwecke außerhalb der App-Funktionen. Du kannst die Einwilligung widerrufen, ohne die lokalen Journal- und Planungswerkzeuge zu verlieren. Ena begleitet dein Wohlbefinden, ersetzt aber keine professionelle Versorgung; Ena ist kein Medizinprodukt und kein Ersatz für Therapie oder ärztlichen Rat.

Was wir verarbeiten — und wo es liegt

Konto-, Einwilligungs- und Altersnachweise. Die Anmeldung übernimmt Auth0 (Okta, Inc.) über dein Google- oder Apple-Konto — ein eigenes Ena-Passwort gibt es nicht, und wir erhalten nie eines. Dein gewählter Anmeldeanbieter bestätigt Auth0 deine Identität und erfährt dabei, dass sich dein Konto bei Ena anmeldet; bei Apple kannst du deine echte E-Mail-Adresse verbergen. Auf unserem eigenen Server speichern wir eine pseudonyme Konto-ID (deine Auth0-Nutzer-ID), deinen Abo-Status und fortlaufende Nachweise über deine Zustimmung zu den Nutzungsbedingungen sowie Einwilligungen und Widerrufe zur KI-Verarbeitung und optionalen Produktanalyse. Außerdem speichern wir, dass du Enas Mindestalter von 18 Jahren separat bestätigt hast. Dieser Altersnachweis enthält das Mindestalter, eine Kennung der bestätigten Aussage, Sprache sowie Server-/Gerätezeitstempel — niemals dein Geburtsdatum. Die Rechts- und Einwilligungsnachweise enthalten die jeweilige Text- oder Dokumentversion, Sprache, Quelle sowie Server-/Gerätezeitstempel, damit wir deine Entscheidungen belegen können; Tagebuch- oder Gesprächsinhalte enthalten sie nicht. Deine E-Mail-Adresse und deinen Namen speichern wir nicht; sie liegen für uns bei Auth0, unserem Anmeldedienst, wo wir die Adresse nachschlagen können, um dir wichtige Service- oder Rechtsmitteilungen zu senden — nie Werbung ohne deine gesonderte Einwilligung. Wo wir dir etwas zuordnen müssen, ohne zu wissen, wer du bist (der Backup-Schlüssel deines Kontos, Trust-Meldungen, Kontolöschung), verwenden wir einen Einweg-Hash deiner E-Mail-Adresse — niemals die Adresse selbst. Außerdem wählst du beim Onboarding einen Anzeigenamen, mit dem Ena dich ansprechen soll: Er wird auf deinem Gerät gespeichert, ist Teil deiner Backups und wird beim Verbinden an unseren Server gesendet, wo er nur im Arbeitsspeicher gehalten wird, um Antworten zu personalisieren — nie in unsere Datenbank geschrieben. Und falls wir unsere Nutzungsbedingungen durchsetzen müssen, halten wir Konto-Sanktionen fest — ob eine Verwarnung oder Sperrung gilt, eine kurze von uns verfasste Notiz, wer sie ausgesprochen hat, und Zeitstempel; Sanktionen entscheidet ein Mensch, und sie werden mit deinem Konto gelöscht. Einweg-Hashes verifizierter Anmelde-E-Mails verhindern, dass eine zweite Identität dieselbe E-Mail für ein weiteres Ena-Konto verwendet. Diese Zuordnungen werden mit dem Konto gelöscht.

Gespräche. Dein Chatverlauf wird auf deinem Gerät gespeichert. Während du chattest, laufen deine Nachrichten über eine verschlüsselte Verbindung zu unserem Server, der das Gespräch nur für die Dauer deiner Sitzung im Arbeitsspeicher hält — Transkripte werden nie in unserer Datenbank gespeichert. Endet eine Sitzung, sendet die App das jüngste Gespräch einmal zurück, damit unser Server kurze Kontinuitätsnotizen für dein Gerät destillieren kann (sie helfen den täglichen Briefen und lassen Ena spüren, wie du zuletzt angekommen bist); dieser Durchlauf wird wie Chat im Arbeitsspeicher verarbeitet und nie gespeichert. Und falls Enas Erinnerungsnotizen zu einer früheren Sitzung neu aufgebaut werden müssen (zum Beispiel nach einer neuen Verbindung), sendet die App die Nachrichten genau dieser einen Sitzung einmalig zur selben Verarbeitung im Arbeitsspeicher — nie deinen gesamten Verlauf. Um Antworten zu erzeugen, werden deine Nachrichten und Enas Erinnerungsnotizen von KI-Anbietern verarbeitet, die als Auftragsverarbeiter nach unseren Weisungen arbeiten (derzeit OpenAI und Google; Microsoft Foundry kann ebenfalls eingesetzt werden). Deren Business-/API-Dienste verwenden diese Daten nicht zum Training von Basismodellen, es sei denn, wir weisen dies an oder erlauben es — was wir nicht tun. Die Verarbeitung kann außerhalb der EU stattfinden (z. B. in den USA), abgesichert durch EU-anerkannte Garantien (Standardvertragsklauseln und, soweit anwendbar, das EU–US Data Privacy Framework).

Betrieblicher Zugriff. Berechtigte Administratoren können über zugriffsbeschränkte Werkzeuge auf laufende Sitzungsinhalte und Kontext zugreifen, soweit dies für den Betrieb oder die Untersuchung eines Problems erforderlich ist. Diagnoselogs zeichnen diese privaten Inhalte nicht auf. Der Live-Zugriff dient nicht zum Aufbau eines dauerhaften Gesprächsarchivs.

Aufbewahrung und Caching bei KI-Anbietern. Die Verarbeitung bei den Anbietern dauert in manchen Fällen länger als die reine Arbeitsspeicher-Sitzung auf unserem eigenen Server. Bei OpenAI-Textanfragen deaktiviert Ena ausdrücklich die optionale Antwortspeicherung von OpenAI, soweit unterstützt. Separate Missbrauchsüberwachung und technische Caches werden dadurch nicht deaktiviert. Standardmäßige Missbrauchsüberwachungsprotokolle von OpenAI können Prompts und Antworten jedoch bis zu 30 Tage enthalten, und verschlüsselter Prompt-Cache-Zustand kann bis zu 24 Stunden auf lokaler GPU-Infrastruktur verbleiben. Für den Audio-Transkriptionsendpunkt weist OpenAI derzeit keine Aufbewahrung für Missbrauchsüberwachung oder Anwendungszustand aus. Google Vertex AI kann projektisolierte Eingaben, Ausgaben und abgeleitete Daten bis zu 24 Stunden in einem Arbeitsspeicher-Cache halten; Ena kann zusätzlich einen expliziten Kontext-Cache mit einer Ablaufzeit von einer Stunde anlegen, und Google kann Prompts nach seinen Cloud-Bedingungen zur Missbrauchsüberwachung protokollieren. Microsoft Foundry führt, soweit eingesetzt, automatisierte Sicherheits- und Missbrauchsprüfungen durch; Inhalte, die auf möglichen schweren oder wiederholten Missbrauch hindeuten, können nach den veröffentlichten Kontrollen von Microsoft für eine autorisierte menschliche Prüfung gespeichert werden. Diese Anbieter dürfen Ena-Inhalte nur mit unserer Erlaubnis zum Training ihrer Basismodelle verwenden — eine Erlaubnis, die wir nicht erteilen und nicht erteilen werden.

Tagebuch, Stimmungen, Gewohnheiten, Ziele und To-dos. Lokale Bearbeitung speichert Inhalte auf deinem Gerät. Mit KI-Einwilligung nutzen die folgenden Funktionen außerdem die jeweils benötigten Inhalte:

Gespräche nutzen deine Nachrichten, Enas Erinnerungsnotizen und deinen gewählten Anzeigenamen, die letzten 10 täglichen Stimmungswerte aus höchstens zwei Monaten und Monatsdurchschnitte aus höchstens sechs Monaten.
Tägliche Briefe nutzen Gewohnheiten, Ziele und Aufgaben einschließlich darin importierter Kalenderangaben sowie kurze Notizen zu früheren Briefen und Gesprächen.
Tagebuch-Inspirationen nutzen bis zu drei kurze Ausschnitte jüngster Einträge und Enas Erinnerungsnotizen.
Sprachfunktionen und andere KI-Funktionen zum Erstellen oder Unterstützen nutzen deine Eingaben und Kontext zum geöffneten Bildschirm oder Element. Dazu können Tagebuchantworten, Stimmungen, eigene Kategorienamen und Angaben zu Gewohnheiten, Zielen oder Aufgaben gehören.

Unser Server verarbeitet diese Inhalte vorübergehend; die Aufbewahrung bei Anbietern ist oben erläutert. Rein lokale Bearbeitung und Kalendersynchronisierung senden die Inhalte für sich genommen nicht an KI-Anbieter.

Kalendersynchronisierung. Die Kalenderintegration ist optional und beginnt erst, nachdem du die Betriebssystemberechtigung erteilt und einen Kalender ausgewählt hast. Je nach gewählter Richtung liest Ena Ereignistitel, Notizen, Zeiten und Dauer aus diesem Kalender in verschlüsselte lokale To-dos ein und/oder schreibt ausgewählte Details deiner Ena-Aufgaben, -Gewohnheiten und -Ziele in diesen Kalender — und entfernt von ihr angelegte Einträge wieder, wenn sie nicht mehr gelten. Die Kalendersynchronisierung allein sendet diese Inhalte nicht an unseren Server. Wenn du bei erlaubter KI-Verarbeitung einen täglichen Brief anforderst, kann die als Brief-Kontext gesendete lokale To-do-Momentaufnahme auch aus deinem Kalender importierte Informationen enthalten. Der ausgewählte Kalender kann von iCloud, Google Kalender, Microsoft Exchange/Outlook oder einem anderen Anbieter bereitgestellt werden; dieser verarbeitet die in den Kalender geschriebenen Inhalte nach seinen eigenen Bedingungen.

Sprache. Sprachnachrichten werden über OpenAI Speech-to-Text transkribiert und wie eine getippte Nachricht verarbeitet. Audio wird nicht auf unserem Server gespeichert.

Fotos & Sprachaufnahmen. Fotos und Sprachaufnahmen, die du an Tagebucheinträge anhängst, bleiben im privaten Speicher der App auf deinem Gerät und werden nie auf unseren Server hochgeladen. Nur was du aktiv an eine KI-Tagebuchfunktion sendest (zum Beispiel Sprache-zu-Tagebuch), wird wie oben beschrieben verarbeitet.

Käufe. Apple oder Google wickelt deine Zahlung ab; Ena erhält keine Zahlungskartendaten. RevenueCat verwaltet Abos und Guthaben und erhält deine pseudonyme Konto-ID, Kauf- und Beleginformationen sowie erforderliche technische App-, Geräte- und Verbindungsangaben. Wir senden keine Tagebuch- oder Chatinhalte und hinterlegen nicht gezielt E-Mail oder Namen als Kundenattribute. Bei Kontolöschung entfernen wir unsere kontobezogenen Guthaben- und Kaufdaten und beauftragen die Löschung des RevenueCat-Kunden. Ein Store-Abo wird dadurch nicht gekündigt. Apple und Google bewahren eigene Transaktionsnachweise nach ihren Richtlinien und gesetzlichen Pflichten auf.

Backups. Backups werden vor dem Export mit AES-256-GCM verschlüsselt. Du wählst den Speicherort; die Datei wird nie zu Ena hochgeladen. Tagebuchfotos und Sprachaufnahmen sind standardmäßig enthalten. Schließt du sie aus, bleiben nur ihre Verweise: Das Backup kann diese Dateien dann nicht selbst wiederherstellen.

Normalerweise lädt die App nach der Anmeldung einen Backup-Schlüssel vom Server. Er gehört zum ursprünglichen Ena-Konto; dieselbe verifizierte E-Mail eines anderen Kontos gewährt keinen Zugriff. Wir speichern den Schlüssel mit der Konto-ID und einem Einweg-Hash der E-Mail. Weil wir den Schlüssel besitzen, ist dies keine strenge Ende-zu-Ende-Verschlüsselung: Wer Datei und Schlüssel besitzt, könnte das Backup lesen.

Beim Export kannst du ein Passwort hinzufügen. Es bietet einen alternativen Zugang; der Kontoschlüssel öffnet die Datei weiterhin ohne Passwort. Das Passwort schützt mittels PBKDF2 eine Kopie des Schlüssels. Bei Backups mit Kontoschlüssel könnte jemand mit einer solchen Datei und ihrem Passwort den gemeinsamen Kontoschlüssel gewinnen und andere damit verschlüsselte Backups öffnen. Wir erhalten dein Passwort nie und können es nicht zurücksetzen.

Ist der Kontoschlüssel nicht verfügbar, kann die App ein ausschließlich mit Passwort zu öffnendes Backup mit eigenem Dateischlüssel exportieren. Eine spätere Anmeldung öffnet diese Datei nicht ohne Passwort. App und Deine Ena-Daten erfordern eine Ena-Anmeldung; das Passwort funktioniert auch bei einem anderen oder neuen Konto. Die Website entschlüsselt lokal im Browser.

Mit der Kontolöschung wird der serverseitige Backup-Schlüssel entfernt. Darauf angewiesene Backups werden unlesbar. Backups mit Passwort bleiben damit zugänglich. Bewahre Datei und einen funktionierenden Zugang sicher auf.

Trust-Meldungen. Wenn du dich entscheidest, ein Gespräch zu melden, erhalten wir codierte Qualitätssignale (keinen Nachrichtentext), deinen optionalen Kommentar und den Zeitpunkt deiner Einwilligung. Meldungen werden nach 6 Monaten automatisch gelöscht; eine frühere Löschung kannst du in der App oder unter talktoena.com/data anfordern.

Support. Wenn du uns eine E-Mail schreibst, verarbeiten wir deine Nachricht, um dir zu helfen, und löschen die Korrespondenz nach 12 Monaten. E-Mails an unsere @talktoena.com-Adressen nimmt unser Domain-Anbieter united-domains (Deutschland, EU) entgegen und leitet sie — ohne Postfächer für uns zu führen — an unser Postfach bei Proton (Schweiz) weiter.

Was wir bewusst nicht erheben: keine Werbe-ID, kein Werbe-SDK, kein appübergreifender Tracker, kein Crash-Reporting-SDK, kein Standort und keine Kontakte. Das einzige SDK für interne Produktanalyse ist die unten beschriebene optionale, streng begrenzte PostHog-Integration. Benachrichtigungen werden lokal auf deinem Gerät geplant — es werden keine Push-Tokens an einen Server gesendet. Songsuchen werden über unseren Server geleitet, sodass die Suche selbst Spotify ohne deine Identität und IP-Adresse erreicht; Albumcover laden jedoch direkt von Spotifys Bildservern, die — wie jeder Bildanbieter — deine IP-Adresse sehen. Die eigenständigen Inspirationen sind originale, mit der App ausgelieferte Texte von Ena und kontaktieren keinen Zitate-Anbieter. Wenn die App unseren Server nicht erreichen kann, prüft sie die Verbindung mit einer einzelnen, inhaltsfreien Anfrage an den Standard-Endpunkt deiner Plattform (Apple auf iOS, Google auf Android), um zu unterscheiden, ob dein Gerät offline oder unser Server nicht erreichbar ist — dabei werden keine Kennungen gesendet. Zeigt Ena dir Krisenressourcen, öffnet der Link findahelpline.com in deinem Browser; wie jede Website, die du besuchst, sieht dieser Dienst dann deine IP-Adresse — wir übermitteln ihm nichts über dich.

Optionale interne Produktanalyse. Wenn du gesondert einwilligst, erfasst die mobile App über PostHog EU Cloud ausschließlich: App geöffnet; Onboarding abgeschlossen; eine der Funktionen Gewohnheiten, Ziele, Tagebuch oder Chat geöffnet; ein Element erstellt oder abgeschlossen, jeweils nur mit dieser Funktionskategorie; Chat gestartet; Paywall angezeigt, nur mit einer festen, nicht sensiblen Quellkategorie; und Abo gestartet, nur mit der normalisierten Tarifstufe. Wir verwenden diese Ereignisse ausschließlich für die interne Produktanalyse, um Ena zu verstehen und zu verbessern — niemals für Werbung, Marketingprofile oder Tracking über andere Apps oder Websites hinweg. Deine Einwilligung oder dein Widerruf wird in Enas Konto-Einwilligungsregister festgehalten, damit die Entscheidung auf allen deinen Geräten gilt. Diese Entscheidung auf Kontoebene wird nicht mit den Analyseereignissen zusammengeführt. PostHog erhält nur eine zufällige, vom SDK erzeugte Kennung dieser teilnehmenden App-Installation; die Ereignisse sind daher pseudonym und nicht anonym. Wir rufen die Identifizierungsfunktion von PostHog nie auf und senden niemals Auth0- oder Konto-ID, E-Mail, Name, Werbe-ID, Tagebuch- oder Chattext, Titel von Gewohnheiten oder Zielen, Stimmungs- oder Gesundheits-/Gefühlswerte, sensible URL, Transaktions-ID oder andere von dir erzeugte Inhalte. Sitzungswiedergabe, automatische Touch- und Bildschirmaufzeichnung, automatische App-Lebenszyklus-Erfassung, GeoIP, Personenprofile, Umfragen und Remote-Feature-Flag-Anfragen sind deaktiviert.

Wie jeder Internetdienst erhält PostHog die Quell-IP technisch so lange, wie dies zur Annahme und Weiterleitung der verschlüsselten Netzwerkanfrage erforderlich ist. GeoIP-Anreicherung und Speicherung der Roh-IP sind deaktiviert; wir behaupten nicht, dass die IP auf dem Übertragungsweg nie verarbeitet wird. PostHog arbeitet als unser Auftragsverarbeiter in seiner EU-Umgebung in Frankfurt. Ohne Einwilligung bleibt die Analyse aus. Eine Ablehnung hat keine Auswirkung auf Onboarding oder App-Funktionen; ein Widerruf unter Einstellungen → Daten & Datenschutz stoppt die zukünftige Erfassung sofort und ändert deine KI-Verarbeitungsentscheidung nicht. Bereits erfasste pseudonyme Ereignisse bleiben nur für die konfigurierte Aufbewahrungsdauer gespeichert, höchstens 12 Monate, sofern du nicht auf der Seite „Deine Ena-Daten“ eine frühere Löschung beantragst.

Mit wem wir arbeiten

Jeder externe Dienst, der bei Ena eine Rolle spielt, was er für uns tut und was er erhält. Jeder Name verlinkt auf die Datenschutzerklärung des jeweiligen Anbieters.

Anbieter	Was er für Ena tut	Was er erhält	Wo
Render	Betreibt unseren Server und diese Website	Die auf dieser Seite beschriebenen serverseitigen Daten	Frankfurt, Deutschland (EU)
Cloudflare	DNS, Content-Auslieferung (CDN) und Sicherheits-/DDoS-Schutz vor unserer Website und API	Verbindungsmetadaten einschließlich deiner IP-Adresse sowie den Datenverkehr zu unseren Servern — zum Leiten und Schützen von Anfragen; nie für Werbung	USA (globales Netz, inkl. EU; DPF / SCC)
Auth0 (ein Okta-Unternehmen)	Übernimmt deine Anmeldung; speichert deine Anmelde-E-Mail-Adresse und deinen Namen für uns	E-Mail, Name, Anmeldeidentität aus deiner Google- oder Apple-Anmeldung	EU-Mandant; weitere Verarbeitung durch den Anbieter kann auch außerhalb der EU stattfinden
Dein Anmeldeanbieter (Google oder Apple)	Bestätigt deine Identität bei der Anmeldung	Erfährt, dass sich dein Konto bei Ena anmeldet, und gibt E-Mail, Name und Konto-Kennung an Auth0 weiter; bei Apple kannst du deine E-Mail-Adresse verbergen	Gemäß deinem Google-/Apple-Konto
OpenAI	Erzeugt Enas Antworten; transkribiert Sprachnachrichten	Gesprächsinhalte und Kontext; Text kann bis zu 30 Tage in Missbrauchsüberwachungsprotokollen und bis zu 24 Stunden in verschlüsseltem Prompt-Cache verbleiben; kein Modelltraining	USA
Google Vertex AI	KI-Verarbeitung für Teile von Enas Antworten und Funktionen	Gesprächs- oder Funktionskontext; projektisolierter Arbeitsspeicher-Cache bis zu 24 Stunden, von Ena angelegter Kontext-Cache bis zu einer Stunde und mögliche Prompt-Protokolle zur Missbrauchsüberwachung; kein Modelltraining	Globaler Endpunkt; Verarbeitung kann außerhalb der EU stattfinden
Microsoft Foundry	Alternative KI-Verarbeitung, soweit konfiguriert	Gesprächs- oder Funktionskontext; automatisierte Sicherheitsprüfung und mögliche Speicherung markierter Stichproben für autorisierte Missbrauchsprüfung; kein Modelltraining	Azure-Bereitstellungsregion; globale Verarbeitung soweit konfiguriert
RevenueCat	Verwaltet Abos & Guthaben	Pseudonyme Konto-ID, Käufe/Belege, Guthaben und technische App-/Geräte-/Verbindungsangaben; keine Tagebuch- oder Chatinhalte	USA
Expo (EAS Update)	Liefert App-Updates beim Start der App aus	Geräte- und Laufzeit-Metadaten sowie eine dauerhafte Update-Client-Kennung — keine Inhalte, keine Kontoidentität	USA (DPF / SCC)
PostHog	Verarbeitet die optionale, einwilligungsbasierte interne Produktanalyse der mobilen App	Erlaubte Produktnutzungsereignisse und eine zufällige App-Installationskennung; keine Kontoidentität oder Nutzerinhalte. Die Ereignisse werden ausschließlich verwendet, um Ena zu verstehen und zu verbessern, niemals für Werbung oder app-/websiteübergreifendes Tracking. Anfrage-IP und App-Netzwerkmetadaten erreichen den Dienst auf dem Übertragungsweg, GeoIP und Speicherung der Roh-IP sind deaktiviert	EU Cloud, Frankfurt, Deutschland
Apple / Google Play	Wickeln Zahlungen als Händler ab	Zahlungsdaten — nach deren eigenen Bedingungen; wir sehen sie nie	—
Dein ausgewählter Kalenderanbieter (zum Beispiel Apple, Google oder Microsoft)	Speichert den Kalender, den du optional über dein Gerät verbindest	Ena-Inhalte, die in diesen Kalender geschrieben werden, einschließlich Titel, Notizen und Zeitplanung; Ereignisse, die Ena aus diesem Kalender liest, liegen dort bereits vor	Gemäß deinem Kalenderkonto und Anbieter
Spotify	Songsuche für Musik-Tags im Tagebuch	Deine Suchbegriffe — anonym über unseren Server gesendet (keine Identität, keine IP). Albumcover werden beim Anzeigen von Suchergebnissen und getaggten Songs direkt von Spotifys Bildservern geladen; Spotify sieht dabei deine IP-Adresse	EU/USA
united-domains	Unser Domain-Registrar; nimmt E-Mails an @talktoena.com entgegen und leitet sie an unser Postfach weiter	E-Mails, die du uns schreibst — nur im Durchlauf, kein Postfach	Deutschland (EU)
Proton	Hostet das Postfach, an das unsere E-Mail weitergeleitet wird (support@talktoena.com)	Was du uns per E-Mail schreibst	Schweiz (EU-Angemessenheitsbeschluss)

Für Anbieter außerhalb der EU/des EWR stützen wir uns auf EU-Standardvertragsklauseln und/oder das EU–US Data Privacy Framework. Eine Kopie der maßgeblichen Garantien erhältst du auf Anfrage unter privacy@talktoena.com.

Rechtsgrundlagen

Bereitstellung von Konto, Käufen, Backups und lokalen App-Werkzeugen: Art. 6 Abs. 1 lit. b DSGVO (das KI-Gespräch selbst beruht auf der folgenden Einwilligung). Personalisierte KI-Verarbeitung einschließlich möglicher Gesundheitsdaten: deine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO. Die KI-Einwilligung ist freiwillig und von der Zustimmung zu den Nutzungsbedingungen getrennt. Du kannst sie jederzeit unter Daten & Datenschutz widerrufen; lokale Tagebuch- und Planungsfunktionen sowie Konto- und Datenwerkzeuge bleiben ohne sie verfügbar. Optionale interne PostHog-Produktanalyse der mobilen App: deine separate Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, erteilt beim Onboarding oder später unter Daten & Datenschutz. Der jeweilige Widerruf beendet die entsprechende Verarbeitung für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt, und die Entscheidungen zu mobiler Analyse und KI steuern einander nie. Nutzungserfassung zur Abrechnung deiner enthaltenen Nutzung und Käufe: Art. 6 Abs. 1 lit. b DSGVO. Dienstsicherheit, die Auslieferung von App-Updates (Expo EAS Update), die Verbindungsdaten der Website und die 90-Tage-Löschmarkierung: unsere berechtigten Interessen an einem sicheren und zuverlässigen Dienst nach Art. 6 Abs. 1 lit. f DSGVO, abgewogen gegen Datenminimierung und kurze Aufbewahrung. Nachweise deiner Zustimmung zu den Nutzungsbedingungen, deiner Einwilligungen und deiner Altersbestätigung: unsere Rechenschaftspflichten nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO sowie unser berechtigtes Interesse, sie belegen zu können, Art. 6 Abs. 1 lit. f DSGVO. Support-Anfragen: Art. 6 Abs. 1 lit. b DSGVO; bitte vermeide Gesundheitsangaben in Support-E-Mails. Sind sie erforderlich, bitten wir vor ihrer Verarbeitung für den Support um ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a); die bloße E-Mail gilt nicht als Einwilligung. Durchsetzung unserer Nutzungsbedingungen (Verwarnungen, Sperrungen): Art. 6 Abs. 1 lit. b und f DSGVO. Trust-Meldungen: deine ausdrückliche Einwilligung bei der Einreichung, Art. 6 Abs. 1 lit. a und — weil ein Kommentar dein Befinden berühren kann — Art. 9 Abs. 2 lit. a DSGVO. Was du bereitstellen musst: Um Ena zu nutzen, brauchst du eine Google- oder Apple-Anmeldung, die Zustimmung zu unseren Nutzungsbedingungen, die Bestätigung, dass du mindestens 18 bist. KI-Verarbeitung benötigt eine eigene Einwilligung; lokale Funktionen setzen sie nicht voraus. Alles Weitere (Produktanalyse, Kalenderzugriff, Briefe, Backups, Trust-Meldungen) ist optional, und eine Ablehnung schränkt den Rest der App nie ein.

Rechenschaftspflicht und Datenschutzorganisation

Wir führen ein schriftliches Verzeichnis der Verarbeitungstätigkeiten von Ena, einschließlich Zwecken, Datenkategorien, Empfängern, internationalen Übermittlungen, Aufbewahrungsfristen und Sicherheitsmaßnahmen. Wenn sich eine Funktion oder ein Anbieter ändert, überprüfen wir dieses Verzeichnis, diese Erklärung und die damit verbundenen Risiken. Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte von Menschen mit sich bringen, werden vor ihrer Freigabe bewertet; der Zugang zu unseren Produktivsystemen ist auf Personen beschränkt, die ihn für den Betrieb oder die Sicherheit von Ena benötigen.

Wir dokumentieren vermutete Verletzungen des Schutzes personenbezogener Daten und bewerten ihre voraussichtlichen Auswirkungen. Soweit die DSGVO eine Meldung verlangt, melden wir die Verletzung unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde. Ist voraussichtlich ein hohes Risiko gegeben, informieren wir auch die betroffenen Personen, soweit gesetzlich vorgeschrieben.

Sicherheit

Tagebuchtexte, Stimmungen, Gewohnheiten und Ziele sind auf deinem Gerät mit einem App-eigenen AES-256-Schlüssel verschlüsselt, der auf deinem Gerät erzeugt und im iOS-Schlüsselbund / Android-Keystore aufbewahrt wird; Fotos, Sprachnotizen und Chatverlauf schützt die Systemverschlüsselung deines Geräts, gebunden an deinen Gerätecode. Backups sind zusätzlich mit dem Backup-Schlüssel deines Kontos verschlüsselt (auf unseren Servern gespeichert, nur an deine authentifizierten Sitzungen herausgegeben; die Backup-Datei selbst erreicht uns nie) wobei ein beim Export hinzugefügtes Passwort einen alternativen Zugang bietet; dieses Passwort erhalten wir nie und können es nicht zurücksetzen. Du kannst die App mit Face ID oder Fingerabdruck sperren. Alle Verbindungen nutzen TLS.

Wie lange wir Daten aufbewahren

Geräte- und Kalenderinhalte unterliegen deiner Kontrolle und den Einstellungen deines Kalenderanbieters. Die Seite Deine Ena-Daten hält Anmelde-Tokens im Arbeitsspeicher; Neuladen, Schließen des Tabs oder Abmelden entfernt sie. Vorübergehende Anmeldeweiterleitungen und aus der App übergebene Analytics-IDs verwenden Tab-Speicher.

Unser Server entfernt Chat-Arbeitsspeicher innerhalb von etwa 10 Minuten nach der Trennung oder sofort beim KI-Widerruf. Diagnoseausgaben enthalten keine privaten Nachrichten, Tagebuchtexte, Prompts oder Transkriptionen. Sprachtranskription erfolgt aus dem Arbeitsspeicher ohne Audiodatei auf dem Server.

Bei Kontolöschung entfernen wir unsere kontobezogenen Inhalte, Guthaben- und Kaufdaten, Einwilligungsnachweise und Backup-Schlüssel sofort. Ein Guthaben zur späteren Wiederherstellung behalten wir nicht. Wir beauftragen RevenueCat und Auth0 mit der Löschung und wiederholen vorübergehend fehlgeschlagene Versuche automatisch. Bis zum Abschluss behalten wir nur Konto-Kennung und technischen Löschstatus und sperren eine erneute Registrierung dieser Identität. Die minimale Löschmarkierung wird 90 Tage nach der ursprünglichen Kontolöschung automatisch entfernt. Wiederholungsversuche starten diese Frist nicht neu. Ein offener Löschauftrag bleibt bis zum Abschluss bestehen; dauert dies länger als 90 Tage, wird seine Markierung unmittelbar nach bestätigtem Abschluss entfernt. Der Dienst prüft dies jede Minute sowie beim Serverstart. Store-Abos und eigene Transaktionsnachweise behandeln Apple und Google getrennt.

Guthabenbuchungen und Wiederholungsnachweise bleiben während der Kontolaufzeit gespeichert, damit Guthaben korrekt bleiben und keine doppelten Abbuchungen entstehen; Kontolöschung entfernt sie. Detaillierte kontobezogene Anbieternutzung: 180 Tage, anschließend Monatssummen für den laufenden und die vorherigen 23 Monate. Ein täglicher Serverlauf entfernt fällige Daten, auch nach einem Neustart. Kontolöschung entfernt beides früher. Trust-Meldungen: sechs Monate oder normalerweise innerhalb eines Tages nach einem Löschantrag. Optionale pseudonyme PostHog-Ereignisse: höchstens 12 Monate oder bis zum Abschluss eines früheren Löschauftrags durch PostHog. Support-Korrespondenz: 12 Monate. Für KI-Anbieter gelten die oben erläuterten Fristen.

Deine Rechte

Du hast die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Am schnellsten übst du sie über die Seite Deine Ena-Daten und die Regler in der App aus; für alles andere schreibe an privacy@talktoena.com — diese Adresse überwachen wir für die gesetzliche Antwortfrist. Anfragen, die uns anders erreichen, zählen genauso; diese Adresse bringt dir nur die schnellste Antwort. Öffne Deine Ena-Daten in der App unter Einstellungen → Daten & Datenschutz und melde dich an: Die herunterladbare ZIP-Datei enthält kontobezogene Serverdaten und eine separate Datei posthog/tracking-data.json für die Analytics-IDs dieser App-Installation. Auf der Seite kannst du mit der Schaltfläche Daten der internen Produktanalyse löschen außerdem die asynchrone Löschung dieser PostHog-Personen und -Ereignisse beauftragen. Widerrufe die Einwilligung zur KI-Verarbeitung unter Einstellungen → Daten & Datenschutz → Berechtigungen & Schutz. Widerrufe die optionale interne Produktanalyse unter Einstellungen → Daten & Datenschutz; die zukünftige PostHog-Erfassung endet sofort. Um dein Ena-Konto, die lokalen App-Daten und kontobezogene Daten auf unseren Servern zu löschen, nutze Einstellungen → Konto → Konto löschen; die App übermittelt dabei auch ihre gespeicherten Analytics-IDs zur Löschung bei PostHog. Kannst du die App nicht nutzen — etwa während einer Kontosperrung —, schreibe von deiner Anmelde-E-Mail-Adresse an privacy@talktoena.com, und wir führen die Löschung durch; eine Sperrung blockiert deine Datenrechte nie. Falls du die App-Installation, die eine Analytics-ID erzeugt hat, nicht mehr besitzt, kontaktiere uns und teile uns vorhandene Informationen mit, die beim Auffinden der Daten helfen können. Du kannst dich außerdem bei jeder Aufsichtsbehörde beschweren, insbesondere an deinem Wohn- oder Arbeitsort — für uns ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach zuständig (lda.bayern.de).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (zum Beispiel Dienstsicherheit, Auslieferung von App-Updates, Verbindungsdaten der Website, Löschmarkierung oder unsere Rechenschaftsnachweise), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit per E-Mail an privacy@talktoena.com widersprechen; wir verarbeiten dann nicht weiter, es sei denn, zwingende schutzwürdige Gründe überwiegen. Dieselbe Adresse nimmt auch Berichtigungs-, Einschränkungs- und Übertragbarkeitsanfragen entgegen.

Ein Standard, weltweit

Die hier beschriebenen Schutzmaßnahmen gelten für alle Ena-Nutzer. Für unsere Verarbeitung als Anbieter mit Sitz in Deutschland gilt die DSGVO. Zusätzliche Rechte nach deinem örtlich geltenden Recht bleiben unberührt. Für Nutzerinnen und Nutzer in den USA, einschließlich Kalifornien: Wir verkaufen oder teilen deine personenbezogenen Daten nicht (im Sinne des CCPA/CPRA), wir nutzen sie nicht für zielgerichtete Werbung, und wir benachteiligen niemanden wegen der Ausübung von Datenschutzrechten. Du kannst für jede Anfrage eine bevollmächtigte Person einsetzen. Gesundheitsbezogene Inhalte sind „sensitive personal information“ im Sinne des CPRA; wir nutzen sie ausschließlich, um Ena bereitzustellen, nie um Eigenschaften für andere Zwecke abzuleiten. Auskunft, Export und Löschung funktionieren für alle über dieselben Werkzeuge — die Seite Deine Ena-Daten und die Kontolöschung in der App. Ena richtet sich nicht an Kinder und setzt ein Mindestalter von 18 Jahren voraus.

KI-Transparenz

Enas Antworten werden von künstlicher Intelligenz erzeugt, und die App sagt dir das bei der ersten Begegnung mit Ena (Art. 50 EU-KI-Verordnung). Ena trifft keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über dich; Maßnahmen wie Kontosperrungen entscheidet ein Mensch.

Änderungen

Wir aktualisieren diese Erklärung, wenn sich die Datenverarbeitung der App ändert, und passen das Datum oben an. Wesentliche Änderungen kündigen wir in der App an.

Kontakt

Bei Fragen schreib uns einfach an support@talktoena.com.