Privacy notice

Controller

Hermann Fischer, Merianstr. 10, 75015 Bretten, Germany, DE. Privacy contact: [email protected].

Data categories

We process account identifiers and profile settings; authentication events; learning progress, adopted cards, answers and preferences; purchase, subscription, entitlement and tax records; support communications; and security, abuse-prevention and service logs. Optional Practice Together may add a pseudonym, membership and partner data, messages, voice recordings, transcripts, safety reports and consent records. Requested tutor, speech, custom-lesson or image features process the prompt, lesson text, audio or image request needed to return the result. Device-only learning data can reside in localStorage, sessionStorage, Cache Storage or IndexedDB and includes downloaded packages, progress, settings and caches. When configured and used for account sign-in, the Supabase browser client persists the session and refresh material in localStorage under the sb-<project-ref>-auth-token family; sign-out or clearing site data removes it. The restricted admin area separately uses a 45-minute HttpOnly session cookie. The authoritative key-family, purpose, retention and removal inventory is in the storage and cookie policy.

Wir verarbeiten Kontokennungen und Profileinstellungen, Anmeldeereignisse, Lernfortschritt, Karten, Antworten und Präferenzen, Kauf-, Abo-, Berechtigungs- und Steuerdaten, Supportkommunikation sowie Sicherheits- und Dienstprotokolle. Optionale Funktionen verarbeiten entsprechend Pseudonym, Mitgliedschaft, Nachrichten, Sprachaufnahmen, Transkripte, Sicherheitsmeldungen, Einwilligungsnachweise oder angeforderte Texte, Audiodaten und Bildanfragen. Gerätedaten liegen je nach Funktion in localStorage, sessionStorage, Cache Storage oder IndexedDB. Bei konfigurierter und genutzter Kontoanmeldung speichert der Supabase-Browserclient Sitzung und Aktualisierungsmaterial unter sb-<project-ref>-auth-token in localStorage; Abmeldung oder das Löschen der Website-Daten entfernt es. Nur der eingeschränkte Adminbereich verwendet zusätzlich ein 45-minütiges HttpOnly-Sitzungscookie. Einzelheiten stehen in der Speicher- und Cookie-Richtlinie.

Purposes and legal bases

We provide accounts, learning, synchronization and purchases under Article 6(1)(b) GDPR; keep tax, accounting and legally required records under Article 6(1)(c); and secure, troubleshoot and defend the service under Article 6(1)(f), based on our legitimate interests in a safe and reliable service. Where applicable, optional speech transcription, optional storage or another clearly identified feature uses consent under Article 6(1)(a); consent can be withdrawn prospectively at any time. See the official GDPR text.

Konten, Lernen, Synchronisierung und Käufe beruhen auf Artikel 6 Abs. 1 Buchst. b DSGVO, gesetzliche Steuer- und Aufbewahrungspflichten auf Buchst. c und Sicherheit, Fehlerbehebung sowie Rechtsverteidigung auf unseren berechtigten Interessen nach Buchst. f. Soweit erforderlich, beruhen optionale Funktionen auf Einwilligung nach Buchst. a; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Recipients, processors, and transfers

Only when configured and when the relevant feature is used, data may go to Supabase for authentication, databases and file storage; Stripe for checkout, billing, tax and fraud controls; Telegram for a linked tutor channel; Google or Microsoft Azure Speech/Cognitive Services for sign-in or requested speech-to-text/text-to-speech; and disclosed AI or image providers, currently an OpenAI-compatible text provider and Runware, for requested tutor, custom-lesson or image generation. Cloudflare acts as a configured processor for DNS, CDN, reverse proxy, TLS and security edge services; Contabo acts as a processor for EU VPS hosting and application and log storage. Browser speech may instead be handled by the browser or operating-system provider. Stripe receives card details directly; FlowLingu does not store full card numbers. Providers act under their own terms where they are independent controllers. We do not sell personal data.

Nur bei entsprechender Konfiguration und Nutzung erhalten Supabase, Stripe, Telegram, Google, Microsoft Azure Speech/Cognitive Services sowie offengelegte KI- oder Bildanbieter die für die jeweilige Funktion erforderlichen Daten. Cloudflare verarbeitet als Auftragsverarbeiter Daten für DNS, CDN, Reverse-Proxy, TLS und Sicherheitsdienste am Netzwerkrand; Contabo für EU-VPS-Hosting sowie Anwendungs- und Protokolldaten. Drittlandübermittlungen, insbesondere bei weltweit arbeitenden Edge-Anbietern, erfolgen soweit erforderlich aufgrund eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den Standardvertragsklauseln der EU-Kommission und gegebenenfalls ergänzender Maßnahmen; Contabo-Hosting wird in der EU konfiguriert.

International transfers

A configured provider may process data outside Germany, the EEA, UK or Switzerland. Where required, transfers rely on an adequacy decision or appropriate safeguards such as the European Commission's Standard Contractual Clauses, with supplementary measures where appropriate. Contact us for information about safeguards relevant to your use.

Retention

Retention follows purpose and necessity: account and learning data remain while the account is active and are then deleted or anonymised after operational backup cycles; local copies remain until you remove packages, clear site data or uninstall the app. Database retention rules define 180 days for Circle messages and transcripts, 30 days for raw audio, and 365 days for resolved safety evidence. A deployment must run and monitor the maintenance job for those rules to take effect; until scheduler execution is operationally verified, we do not claim these periods are automatically enforced. Partnership text and transcripts remain while needed for the active relationship and service and are removed on account deletion, unless safety or legal evidence rules apply. Cloudflare transient request and security logs follow its configured operational and security need; Contabo application and log data remain only as needed for service operation, security, backup cycles and legal claims. Support and security records follow issue resolution, abuse prevention and claims needs; purchase, tax and accounting records remain for statutory periods.

Konten- und Lerndaten bleiben für die Kontolaufzeit und anschließende betriebliche Sicherungszyklen gespeichert. Datenbankregeln definieren 180 Tage für Kreisnachrichten und Transkripte, 30 Tage für rohe Audiodaten und 365 Tage für Nachweise abgeschlossener Sicherheitsfälle. Diese Fristen wirken nur, wenn der Wartungsjob im Betrieb ausgeführt und überwacht wird; bis dies nachgewiesen ist, behaupten wir keine automatische Durchsetzung. Partnerschaftstexte und -transkripte bleiben solange für aktive Beziehung und Dienst erforderlich und bis zur Kontolöschung, soweit keine Sicherheits- oder Rechtsnachweise entgegenstehen. Cloudflare- und Contabo-Protokolle folgen Betriebs-, Sicherheits-, Sicherungs- und Rechtskriterien.

Your rights

Subject to applicable conditions, you may request access, rectification, erasure, restriction, data portability, or object to processing based on legitimate interests. You may withdraw consent at any time without affecting earlier lawful processing and complain to a competent data-protection supervisory authority. Contact [email protected] to exercise a right.

Sie können nach Maßgabe des Gesetzes Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen sowie widersprechen. Ein Widerruf der Einwilligung wirkt für die Zukunft; zudem besteht ein Beschwerderecht bei einer Aufsichtsbehörde.

United Kingdom, Switzerland, and California

United Kingdom users may exercise corresponding UK GDPR rights and complain to the ICO. Switzerland users have rights under the FADP and may contact the Swiss FDPIC. California residents may request access/know, correction, deletion, and a copy of covered information, and may exercise applicable opt-out or limitation rights without discrimination. FlowLingu does not sell or share personal information for cross-context behavioural advertising. See the California Privacy Protection Agency.

Im Vereinigten Königreich, in der Schweiz und in Kalifornien gelten die entsprechenden regionalen Auskunfts-, Berichtigungs-, Löschungs-, Kopie-, Widerspruchs- und Beschwerderechte. FlowLingu verkauft personenbezogene Daten nicht und teilt sie nicht für kontextübergreifende verhaltensbezogene Werbung.

Minors and automated decisions

Practice Together is restricted to users who confirm they are 18 or older. The service is not directed to children under 13, and we do not knowingly collect their personal data. A parent or guardian who believes a child supplied data should contact us. We make no solely automated decisions that produce legal or similarly significant effects; recommendations, matching, safety signals and fraud checks only assist delivery or human review.

Practice Together ist auf Personen beschränkt, die mindestens 18 Jahre bestätigen; der Dienst richtet sich nicht an Kinder unter 13 Jahren. Es gibt keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung. Empfehlungen, Zuordnung, Sicherheitssignale und Betrugsprüfungen unterstützen nur die Diensterbringung oder menschliche Prüfung.