Datenschutzerklärung für Journey
1. Verantwortliche
Verantwortlich für die Bearbeitung personenbezogener Daten in Journey ist Balancd GmbH, Hirschengraben 28, 8001 Zürich, Schweiz. Für Fragen zum Datenschutz und für Anfragen betroffener Personen erreichst du uns unter hello@balancd.ch.
2. Worum es geht
Diese Erklärung gilt für die Journey-App, die zugehörigen Serverdienste sowie Support und Verwaltung. Journey ist ein privates Familientagebuch: Erinnerungen sind nur für den eigenen Familienbereich sichtbar und werden nie öffentlich gemacht. Journey zeigt keine Werbung, verkauft keine Daten und setzt keine Tracking- oder Analysewerkzeuge ein.
Ein eigenes Konto dürfen nur Personen ab 18 Jahren eröffnen. Kinder erscheinen nur als Personenprofile, die Erwachsene im Familienbereich verwalten; sie haben kein eigenes Konto.
3. Welche Daten wir bearbeiten
- Konto und Profil: E-Mail-Adresse, Vorname, gegebenenfalls Geburtsdatum und Anmeldeinformationen.
- Familienbereich: Personenprofile, Einladungen und die Mitverwaltung durch eine eingeladene erwachsene Partnerperson sowie eingeladene Verwandte als Mitwirkende (bis zu 5 im kostenlosen Plan, bis zu 15 mit Premium), einschliesslich der E-Mail-Adresse, an die wir die Einladung senden. Beiträge von Mitwirkenden sieht die Familie erst, nachdem sie freigegeben wurden.
- Tagebuchinhalte: Texte und deine Originalformulierungen, Transkripte, Fotos, Videos, Sprachaufnahmen, Dokumente, Datum, ein freiwillig angegebener oder in Fotos enthaltener Ort und die Zuordnung zu Personenprofilen.
- Technische Daten: Dateityp und -grösse, Erstellungszeit, inhaltsfreie Nutzungs- und Kontingentzähler sowie sicherheitsbezogene Ereignisse.
- Kauf und Abonnement: Produkt, Status, Kauf-Token und Laufzeit. Zahlungsdaten wie Kartennummern verarbeitet ausschliesslich Google Play; wir erhalten sie nicht.
- Support und Rechteanfragen: deine Nachricht und die zur Identitätsprüfung nötigen Angaben.
Tagebuchinhalte können besonders schützenswerte Daten enthalten, etwa zu Gesundheit, Religion oder Privatleben. Journey fragt solche Angaben nicht gezielt ab. Bitte erfasse nur, was für dein privates Tagebuch nötig ist und was du über andere Personen festhalten darfst.
4. Herkunft der Daten
Wir erhalten Daten von dir, aus Gerätequellen, die du ausdrücklich freigibst (zum Beispiel ausgewählte Fotos), von der eingeladenen Partnerperson, von eingeladenen Mitwirkenden, von Google Play und von unseren technischen Dienstleistern. Angaben über Personen ohne eigenes Konto, etwa Kinder, stammen von der Person, die sie im Familienbereich erfasst.
5. Zwecke und Rechtsgrundlagen
Soweit die DSGVO anwendbar ist, stützen wir uns auf folgende Grundlagen:
| Zweck | Daten | Rechtsgrundlage |
|---|---|---|
| Konto, Familienbereich, Speicherung, Synchronisation, Export | Konto- und Inhaltsdaten | Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO |
| Einladung und gemeinsame Verwaltung | Kontakt-, Einladungs- und Familiendaten | Vertragserfüllung; für Daten Dritter Abwägung der berechtigten Interessen, Art. 6 Abs. 1 lit. f DSGVO |
| Freigegebene Gerätequellen (Fotos, Mikrofon) | ausgewählte Medien, Aufnahmen | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; jederzeit in den Geräteeinstellungen widerrufbar |
| Transkription und KI-Textvorschläge auf deinen Wunsch | ausgewählte Inhalte und Medien | Vertragserfüllung und, wo erforderlich, Einwilligung, Art. 6 Abs. 1 lit. a und b sowie Art. 9 Abs. 2 lit. a DSGVO |
| Sicherheit, Missbrauchsschutz, Fehleranalyse | technische Daten, begrenzte Sicherheitsprotokolle | berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO |
| Abonnement, Abrechnung, Steuern | Kauf-, Vertrags- und Belegdaten | Vertragserfüllung und gesetzliche Pflichten, Art. 6 Abs. 1 lit. b und c DSGVO |
| Support und Rechte betroffener Personen | Anfrage-, Konto- und Nachweisdaten | Vertragserfüllung, gesetzliche Pflicht, berechtigtes Interesse |
Nach dem Schweizer Datenschutzgesetz bearbeiten wir Personendaten rechtmässig, verhältnismässig, zweckgebunden und transparent. Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen; frühere Bearbeitungen bleiben davon unberührt.
6. KI-Funktionen, OpenRouter und OpenAI
Journey sendet Inhalte nur dann an OpenAI, wenn du eine KI-Funktion nutzt, und nur die dafür nötigen Inhalte. Die Anfragen laufen über OpenRouter (OpenRouter, Inc., USA), einen Vermittlungsdienst, der sie an die Modelle von OpenAI weiterleitet. Bei OpenRouter ist die Speicherung von Anfragen ausgeschaltet, und wir lassen nur Anbieter zu, die Inhalte nicht zum Training verwenden.
- Transkription: Deine Sprachaufnahme wird über
/v1/audio/transcriptionsan OpenAI gesendet, damit du einen bearbeitbaren Text erhältst. Als Hilfe für die Schreibweise können die Vornamen aus deinem Familienbereich mitgesendet werden. - Textvorschläge: Wählst du „Mit KI umformulieren“, wird dein Text über
/v1/responsesan OpenAI gesendet. Wählst du deine eigenen Worte, wird nichts gesendet. - Vorschläge aus Fotos und Dokumentimport: Nur nach deiner gesonderten Zustimmung werden höchstens fünf verkleinerte Fotos oder Videobilder je Vorschlag beziehungsweise das eine ausgewählte Dokument gesendet. Deine übrige Galerie wird nie gesendet.
Journey setzt bei Textanfragen store: false, damit OpenAI die Antwort nicht für spätere Abrufe speichert. Nach den API-Bedingungen von OpenAI werden über die Schnittstelle übermittelte Inhalte nicht zum Training von KI-Modellen verwendet. OpenAI kann Anfragen zur Missbrauchserkennung vorübergehend aufbewahren (nach Angaben von OpenAI in der Regel bis zu 30 Tage). Deine Originalaufnahme und deine Originalworte bleiben in jedem Fall unverändert bei der gespeicherten Erinnerung.
KI-Ergebnisse sind Vorschläge und können Fehler enthalten. Sie werden nie automatisch gespeichert: Du prüfst, bearbeitest und speicherst sie selbst. Journey trifft keine ausschliesslich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Du kannst Journey jederzeit ohne KI nutzen, indem du selbst schreibst.
7. Empfänger und Übermittlung ins Ausland
- Supabase (Rechenzentrum in Irland, EU) für Anmeldung, Datenbank, privaten Dateispeicher und Serverfunktionen;
- OpenRouter als Vermittlung und OpenAI für Transkription und Textvorschläge auf deinen Wunsch (siehe Abschnitt 6);
- unser E-Mail-Dienst für Anmeldecodes und Einladungen;
- Google Play und die zugehörigen Zahlungsdienste für Vertrieb, Abonnement, Zahlung und Kaufprüfung;
- Berater und Behörden, soweit dies gesetzlich erforderlich ist.
Einige Anbieter bearbeiten Daten ausserhalb der Schweiz und des EWR, insbesondere in den USA. Wir stützen uns dabei auf die jeweils geltenden Garantien, etwa Angemessenheitsentscheide, anerkannte Datenschutzrahmen oder Standardvertragsklauseln mit ergänzender Risikoprüfung. Eine aktuelle Liste der Anbieter und Garantien erhältst du auf Anfrage unter hello@balancd.ch.
8. Speicherdauer und Löschung
- Konto- und Familieninhalte bis du den Inhalt oder dein Konto löschst;
- Originalaufnahmen und Originalmedien zusammen mit der gespeicherten Erinnerung; sie werden mit ihr gelöscht;
- Entwürfe nur verschlüsselt auf deinem Gerät, bis du sie speicherst oder verwirfst; sie sind von Geräte-Backups ausgenommen;
- Originale aus Importen nur während der Verarbeitung, grundsätzlich höchstens 24 Stunden;
- abgebrochene, keiner Erinnerung zugeordnete Uploads höchstens sieben Tage;
- Einladungen und Codes bis zur Annahme, zum Widerruf oder Ablauf;
- Kauf-, Steuer- und Vertragsbelege während der gesetzlichen Aufbewahrungsfrist;
- Sicherheits- und Supportdaten nur so lange, wie es der Zweck oder eine gesetzliche Pflicht erfordert.
Endet ein Premium-Abonnement, löschen wir deswegen keine Inhalte. Löschungen veranlassen wir auch bei unseren Auftragsbearbeitern. Sicherungskopien werden im festgelegten Zyklus überschrieben; gelöschte Daten werden nach einer Wiederherstellung nicht wieder sichtbar. Dein Konto kannst du in der App unter Einstellungen löschen.
9. Familieninhalte und Rechte anderer
Wer Inhalte in den Familienbereich einstellt, muss sie dort privat festhalten dürfen. Das entbindet uns nicht von unseren eigenen Pflichten: Auch Personen ohne Konto können Auskunft, Berichtigung, Einschränkung oder Löschung verlangen. Bei widersprüchlichen Anliegen, Trennung, Todesfall oder Streit um Sorge oder Vertretung können betroffene Inhalte vorübergehend gesperrt werden, bis Identität, Berechtigung und die Rechte aller Beteiligten geklärt sind. Eine einzelne mitverwaltende Person kann nicht uneingeschränkt über Inhalte anderer verfügen.
10. Sicherheit
Journey nutzt Zugriffskontrollen, private Speicherbereiche, Row Level Security in der Datenbank, verschlüsselte Entwürfe auf dem Gerät und Diagnosen ohne Inhalte. Kein System ist absolut sicher. Sicherheitsvorfälle beurteilen wir nach geltendem Recht und melden sie, wenn nötig, den Behörden und den betroffenen Personen.
11. Deine Rechte
Du kannst nach Schweizer und, soweit anwendbar, europäischem Recht insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe beziehungsweise Übertragung deiner Daten verlangen, der Bearbeitung widersprechen und Einwilligungen widerrufen. Wir prüfen Identität und Berechtigung angemessen und schützen die Rechte anderer Personen in gemeinsamen Inhalten.
Schreibe dafür an hello@balancd.ch. Wir antworten grundsätzlich innerhalb eines Monats; bei komplexen Anfragen kann sich die Frist nach dem Gesetz verlängern. Du kannst dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder bei einer zuständigen Aufsichtsbehörde in der EU oder im EWR beschweren.
12. Änderungen
Wir passen diese Erklärung an, wenn sich Funktionen, Anbieter oder die Rechtslage ändern. Wesentliche nachteilige Änderungen kündigen wir vorher in geeigneter Form an.
Journey privacy policy
1. Controller
Balancd GmbH, Hirschengraben 28, 8001 Zürich, Switzerland, is responsible for processing personal data in Journey. For privacy questions and data subject requests, contact hello@balancd.ch.
2. Scope
This policy covers the Journey app, its server services, support and administration. Journey is a private family journal: memories are visible only within your own family space and are never made public. Journey shows no ads, sells no data and uses no tracking or analytics tools.
Only people aged 18 or over may open an account. Children appear only as person profiles managed by adults in the family space; they have no account of their own.
3. Data we process
- Account and profile: email address, first name, birth date where given, and sign-in information.
- Family space: person profiles, invitations and co-management by one invited adult partner, and relatives invited as contributors (up to 5 on the free plan, up to 15 with Premium), including the email address we send the invitation to. The family sees a contributor's memories only after they are approved.
- Journal content: text and your original wording, transcripts, photos, videos, voice recordings, documents, date, a location you enter or that is embedded in photos, and links to person profiles.
- Technical data: file type and size, creation time, content-free usage and quota counters, and security events.
- Purchase and subscription: product, status, purchase token and term. Payment data such as card numbers is processed only by Google Play; we never receive it.
- Support and rights requests: your message and the details needed to verify your identity.
Journal content may include sensitive data, for example about health, religion or private life. Journey does not ask for such data. Please record only what your private journal needs and what you may record about other people.
4. Where the data comes from
We receive data from you, from device sources you explicitly allow (for example selected photos), from your invited partner, from invited contributors, from Google Play and from our technical service providers. Information about people without an account, such as children, comes from the person who enters it in the family space.
5. Purposes and legal bases
Where the GDPR applies, we rely on the following bases:
| Purpose | Data | Legal basis |
|---|---|---|
| Account, family space, storage, sync, export | account and content data | performance of contract, Art. 6(1)(b) GDPR |
| Invitation and shared management | contact, invitation and family data | performance of contract; for third-party data, balancing of legitimate interests, Art. 6(1)(f) GDPR |
| Device sources you allow (photos, microphone) | selected media, recordings | consent, Art. 6(1)(a) GDPR; revocable at any time in device settings |
| Transcription and AI text suggestions you request | selected content and media | performance of contract and, where required, consent, Art. 6(1)(a) and (b) and Art. 9(2)(a) GDPR |
| Security, abuse prevention, error analysis | technical data, limited security logs | legitimate interest, Art. 6(1)(f) GDPR |
| Subscription, billing, taxes | purchase, contract and receipt data | performance of contract and legal obligations, Art. 6(1)(b) and (c) GDPR |
| Support and data subject rights | request, account and verification data | performance of contract, legal obligation, legitimate interest |
Under the Swiss Federal Act on Data Protection we process personal data lawfully, proportionately, for specific purposes and transparently. You can withdraw consent at any time for the future; earlier processing is not affected.
6. AI features, OpenRouter and OpenAI
Journey sends content to OpenAI only when you use an AI feature, and only the content that feature needs. Requests pass through OpenRouter (OpenRouter, Inc., USA), a routing service that forwards them to OpenAI's models. Request logging is switched off at OpenRouter, and we only allow providers that do not use content for training.
- Transcription: your voice recording is sent to OpenAI via
/v1/audio/transcriptionsso you get text you can edit. First names from your family space may be included as spelling hints. - Text suggestions: if you choose “Rewrite with AI”, your text is sent to OpenAI via
/v1/responses. If you keep your own words, nothing is sent. - Suggestions from photos and document import: only after your separate consent, at most five reduced photos or video frames per suggestion, or the one document you selected, are sent. The rest of your gallery is never sent.
Journey sets store: false on text requests so that OpenAI does not keep the response for later retrieval. Under OpenAI's API terms, content sent through the API is not used to train AI models. OpenAI may keep requests temporarily to detect abuse (according to OpenAI, usually for up to 30 days). Your original recording and your original words always stay unchanged with the saved memory.
AI results are suggestions and may contain mistakes. They are never saved automatically: you review, edit and save them yourself. Journey makes no solely automated decisions with legal or similarly significant effects. You can always use Journey without AI by writing yourself.
7. Recipients and transfers abroad
- Supabase (data centre in Ireland, EU) for sign-in, database, private file storage and server functions;
- OpenRouter as router and OpenAI for transcription and text suggestions you request (see section 6);
- our email service for sign-in codes and invitations;
- Google Play and its payment services for distribution, subscription, payment and purchase verification;
- advisers and authorities where the law requires it.
Some providers process data outside Switzerland and the EEA, in particular in the USA. We rely on the applicable safeguards, such as adequacy decisions, recognised data privacy frameworks or standard contractual clauses with a supplementary risk assessment. You can request a current list of providers and safeguards at hello@balancd.ch.
8. Retention and deletion
- account and family content until you delete the content or your account;
- original recordings and original media together with the saved memory; they are deleted with it;
- drafts only encrypted on your device until you save or discard them; they are excluded from device backups;
- import originals only while they are processed, generally no longer than 24 hours;
- interrupted uploads not linked to a memory for no more than seven days;
- invitations and codes until accepted, revoked or expired;
- purchase, tax and contract records for the statutory retention period;
- security and support data only as long as the purpose or a legal obligation requires.
We never delete content because a Premium subscription ends. We pass deletions on to our processors. Backups are overwritten on the defined cycle; deleted data does not reappear after a restore. You can delete your account in the app under Settings.
9. Family content and the rights of others
Anyone who adds content to the family space must be allowed to record it there privately. This does not release us from our own duties: people without an account can also request access, correction, restriction or deletion. In case of conflicting requests, separation, death or disputes about custody or representation, affected content may be locked temporarily until identity, authority and the rights of everyone involved are clarified. A single co-manager cannot dispose freely of other people's content.
10. Security
Journey uses access controls, private storage, row level security in the database, encrypted drafts on the device and diagnostics without content. No system is absolutely secure. We assess security incidents under the applicable law and report them to authorities and affected people where required.
11. Your rights
Under Swiss and, where applicable, European law you may in particular request access, correction, deletion, restriction, a copy or transfer of your data, object to processing and withdraw consent. We verify identity and authority appropriately and protect the rights of others in shared content.
Write to hello@balancd.ch. We generally reply within one month; for complex requests the deadline may be extended as the law allows. You can complain to the Swiss Federal Data Protection and Information Commissioner (FDPIC) or to a competent supervisory authority in the EU or EEA.
12. Changes
We update this policy when features, providers or the law change. We announce material adverse changes in advance in a suitable way.