Privacy policy and cookies

Effective 2026-11-03 · Deutsch

In short

• You2Chef works without an account. Then everything stays on your device and nothing about you reaches us.
• With an account we store what is needed to sign you in and, if you use it, a copy of your You2Chef data so it syncs between your devices.
• No ads, no usage analytics, and we never sell or share data for marketing. Payment providers perform security and fraud checks when you pay.
• When signed in, preferences including dietary, allergy, body-measure and calendar settings participate in cloud recovery. You can use You2Chef without an account to keep these settings on your device.
• Posts go to all your friends through separate private deliveries. Each device keeps its copy locally. Relay content is cleared after a recipient confirms local storage, or after seven days if undelivered. Sharing is not end-to-end encrypted. Approved creators also publish their posts publicly.
• AI is optional. Ingredient recognition and voice commands run on your device. AI integration uses MCP only; assistants you connect see your recipes and lists only with a token you create, and can only suggest changes.
• You can download all your data, delete the cloud copy, or delete the account at any time, in the app.

1. Who is responsible

The controller is Camille Zhuxuanxi Bartholdi, Sole proprietorship (Einzelunternehmen), Paul Feyerabend Hof 1, 8049 Zurich, Zurich, Switzerland. Contact: bartholdicamille@gmail.com. See also the imprint.

This policy follows the Swiss Federal Act on Data Protection (FADP) and, for people in the European Economic Area and the United Kingdom, the GDPR / UK GDPR.

2. What we process, why, and on which basis

Without an account

Your recipes, plans, shopping lists, meal log, photos and settings are stored only on your device (in the browser: local storage, IndexedDB and the offline cache; in the iOS and Android apps: the app's own storage). We cannot see them. Loading the app sends the usual technical request data (IP address, browser, time) to our host, see section 4.

Hands-free cooking: voice commands in cook mode are recognised by your phone (in the iOS and Android apps) or your browser. Where this can happen on the device (the apps on most recent phones, recent Chrome), the audio stays on the device. Otherwise You2Chef asks before using the phone's or browser's own speech service, which then sends what the microphone hears while hands-free is on to Apple or Google as an independent controller. Steps read aloud use your device's voices. You2Chef never receives audio. Ingredient recognition and step linking in the recipe editor run on your device.

With an account

• Account data: a random account ID, the display name you choose, when the account was created and last used.
• Sign-in data: your passkeys' public keys and names (the private key never leaves your device), sign-in sessions (only a hash of the token, plus your browser's user-agent string to label the device, kept up to 30 days), and hashes of your recovery codes. We never store recovery codes in plain text; the recovery PDF is made in your browser and never uploaded.
• Telegram: if you use You2Chef in Telegram or link Telegram, your numeric Telegram user ID, and your Telegram language to answer in it. Telegram vouches for your identity with signed launch data that we check but do not keep. Messages you send the bot are processed only to answer; sync-code messages are deleted from the chat as soon as the code is used or expires.
• Synced data: if signed in, a copy of your library (recipes, cookbooks, meal plans, own ingredients, utensils and units), planner, shopping and pantry lists, meal log and settings, stored compressed. Recovery includes: preferences, body measures and diet settings, allergies, holiday traditions, calendar and compressed library photos. Super status comes from server-verified entitlements, not a client backup.
• Payments: for You2Chef Super bought with Telegram Stars: the Telegram payment ID, the paying Telegram user ID, amount, date and refund status. For purchases on the web, Stripe and Link are the seller (see section 4): your name, email address, billing country and payment details go to Stripe/Link, not to us; we receive Stripe's customer ID, the checkout and subscription IDs, the plan, billing period, amount, currency and status. Apple and Google handle purchases in their apps; we receive store transaction identifiers, purchase-verification tokens, the plan, environment, subscription expiry and status. Store purchases are linked to your You2Chef account using an account identifier (a pseudonymous hash for Google Play). We verify subscriptions with the store and process signed renewal/refund notifications. We never receive card details from Apple or Google.
• Plans: Super covers you and one more person, Super Family up to ten. We store who belongs to whose plan and when they joined, and single-use invites (only a hash of the code, for 7 days). The owner sees the display names of the members; members see the owner's display name.
• Gifts: who bought a gift, what it is (plan and months), its code until it is redeemed, and who redeemed it and when. The buyer sees whether the gift was redeemed, not by whom.
• Joining Telegram and the web: if the Telegram account you link already has its own You2Chef account, the two are merged into one: sign-in methods, Super, payments and the data of both are kept, and you choose which side wins where they differ (for example settings). The other account then no longer exists.
• Creators (optional, by approval): if you apply to become a creator we store your application (the @handle you ask for, a public name, a short text about you, up to five links, the date and our decision with an optional note). Only if we approve it do your @handle, public name, text and links become a public profile that anyone can find in Search, with or without an account. As a creator you post to the world: everything you post after approval is public on your profile (and still reaches your friends); creators cannot post privately. Nothing else about your account is public. You can stop being public at any time; the profile, the application and everything you posted publicly are then deleted (your friends keep their local copies). We may hold some @handles back for well-known people who may join later.
• Friends and local delivery: we keep friendship identifiers, private friend-link hashes (seven days), reply deadlines, streak counts and minimal delivery/retry metadata. Every post is delivered independently to every friend; replies stay within that friendship. Text, shared recipe references/snapshots and selected photos pass through our relay. New native video uploads are disabled; existing available attachments can still be exported. The app saves text and attachments on the device before acknowledging receipt. Unless an eligible participant explicitly enables Super cloud archive, the acknowledged delivery content is cleared and an unreferenced media object is queued for deletion immediately. Undelivered content expires after seven days; the cleanup job clears it and deletes unreferenced objects. Photos are validated and stripped of supported metadata; videos may retain metadata from the selected file. Super photo backup is optional, off by default, unlimited subject to abuse controls, and requires an active entitlement. It includes the media post’s context; text-only friend messages still clear after local receipt. Ordinary recipe/planner/shopping account sync is unchanged. Minimal identifiers, reply deadlines, day counts and receipt metadata remain while the friendship exists; these contain no cleared post body or media. A timely reply by the end of the next UTC day starts or continues a streak; a missed reply breaks it. Either participant having Super permits restoration. Before switching from previous groups, the app offers an export of the still-available group data and this device’s prior archive. No group history is copied into new conversations automatically. Processing is necessary to provide the sharing service you request (contract), and abuse prevention/moderation is a legitimate interest. Local copies and exported copies are under their holders’ control; deleting a relay post cannot recall an exported file.
• AI integration: You2Chef offers a scoped HTTP API, CLI and MCP for assistants and scripts. You2Chef does not send photos or text to a model provider. Connected assistants process data you authorize under their own terms. Proposals require your approval in You2Chef before they change local data.
• Assistant connections (optional): if you connect an assistant (for example Claude or ChatGPT) through MCP, the HTTP API or CLI, we store a name you give it, what it may do (read and suggest, or Full control), when it was created and last used, and only a hash of its token. With the token, the assistant can read your synced recipes, meal plan, grocery list and pantry; never the settings, health, diet, belief or calendar data, which assistants cannot access. Suggestions it makes (recipes, groceries, pantry items, meals) are stored in your inbox until you accept or dismiss them; with Read and suggest, nothing changes until you accept. Full control also allows direct creation, editing and deletion of your synced recipes, meal plans, grocery list and pantry without individual approval. You can revoke a connection at any time. If you connect Claude, ChatGPT or another assistant by signing in to You2Chef from it (OAuth), we also store the assistant's registration (the name it gives and the addresses it may return you to), a hash of the one-time sign-in code for five minutes, and hashes of its access token (valid one hour) and refresh token. The assistant you connect and its provider are chosen by you and process what they read under their own terms, as independent controllers.
• Security: to stop abuse (spam sign-ups, guessing codes) we count requests per IP address (IPv6: per /64 network), per account or per Telegram user, for the length of each limit (minutes up to one day; for the self-service refund, one year). Network counters store a keyed, window-specific hash rather than the raw address; account counters store an ID and a number. Network hashes expire with their limit window. We store only coarse device categories rather than full user agents in sessions.

Purposes and legal bases: providing the account, sign-in, sync and Super you asked for (contract, GDPR Art. 6(1)(b)); security, abuse prevention and keeping the service running (legitimate interest, Art. 6(1)(f)); bookkeeping of payments (legal obligation, Art. 6(1)(c)). Signed-in preference recovery can include settings that reveal health or beliefs. Store only settings you want You2Chef to retain; use without an account keeps them local. These settings are excluded from assistant access.

Recovery and storage: free accounts receive 1 GB (1,000,000,000 bytes) of cloud storage across structured state and images. Super and approved creators have no plan storage ceiling, subject to abuse controls. Library photos are compressed before upload, validated and stripped of supported metadata. Durable cloud objects are private and survive device loss; local-only or unsynced files cannot be recovered. One app session is active per account; closing/backgrounding releases it, and a crash lease expires within one minute. Account export includes stored records and available image bytes, excluding authentication secrets. Deletion queues object removal durably and the minute cleanup retries failures. Infrastructure/provider backups and technical logs follow their configured retention; restoring a backup must not resurrect deleted accounts.

3. Cookies and storage on your device

You2Chef uses local storage for the service you ask for, with no usage analytics or advertising cookies. Payment-provider storage is described below; optional payment features are governed by their own controls.

Checkout on the web: after you choose to pay, You2Chef loads Stripe.js and Stripe’s embedded checkout form. Card details are entered directly into Stripe’s protected frame; You2Chef never receives them. Stripe and Link process technical/device information and may use cookies (including __stripe_mid and __stripe_sid) for payment security, fraud prevention and optional Link sign-in, under Stripe’s privacy policy and Link’s privacy policy. Stripe’s script is not loaded during ordinary use of You2Chef. Redirects may still be needed for bank authentication or certain payment methods.

Our host Cloudflare may set a short-lived security cookie (such as __cf_bm) if it needs to tell people from bots; it is strictly necessary and set by Cloudflare as our processor.

Native sign-in: the iOS and Android apps store their session credential in the operating system’s secure Keychain/Keystore, not in your recipe database or exported backups. It expires after 30 days and is removed on sign-out, account deletion or detected revocation. Native cloud recovery includes preferences and compressed library photos. Account deletion removes You2Chef’s native verification and subscription records.

4. Recipients and processors

• Cloudflare, Inc. (USA) hosts the app, the server, the database and photos of private posts (Workers, D1, R2). It processes request data (including IP address and user agent) under its infrastructure controls. You2Chef disables persisted invocation logs, redacts query strings and samples remaining application diagnostics at 1%. Provider security logs and backups have provider-controlled retention; these controls do not provide end-to-end encryption. Cloudflare is our processor under a data processing agreement; transfers rely on the EU–US and Swiss–US Data Privacy Frameworks and standard contractual clauses.
• Telegram (Telegram FZ-LLC and Telegram Group Inc.), when you use You2Chef in Telegram, the bot or Stars. Telegram is an independent controller under its own privacy policy. The web app loads Telegram's Mini App script from telegram.org on every visit so it can run inside Telegram; that request shows Telegram your IP address and browser.
• Stripe and Link (Stripe Payments Europe, Ltd., Ireland, and other Stripe companies, including in the USA) for purchases on the web. Stripe's merchant of record service sells the subscription or gift to you as Sold through Link: it takes the payment, handles tax, receipts, refunds, fraud checks and disputes, and lets you manage the subscription on link.com, as an independent controller under Stripe's and Link's privacy policies. Transfers to the USA rely on the EU–US and Swiss–US Data Privacy Frameworks and standard contractual clauses.
• Apple and Google as independent controllers for purchases in their app stores.

We do not sell personal data or share it with anyone else, unless the law obliges us to.

5. How long we keep data

• Account, sign-in and synced data: until you delete them or the account.
• Inactive accounts: free accounts and all associated personal data are deleted after 183 days without account activity. Approved creators and accounts with active Super, including eligible shared seats, are exempt. Local or exported copies on other devices remain under their holders’ control.
• Friend relay payloads: until acknowledged after durable local receipt, at most seven days undelivered. Eligible opt-in Super archives: until deleted, archive is disabled, or Super ends, with cleanup reclaiming expired relay content. Cleared delivery envelopes and receipts: 30 days, reclaimed by bounded hourly cleanup after overdue reply obligations are settled. Current friendship/streak aggregates remain until the friendship/account is removed. Removed library image references receive a seven-day upload/retry grace before object deletion; account/data deletion bypasses this grace. Admin audit events expire after 30 days. Local history and outbox: until removed on that device, sign-out/account change, account deletion or clearing site/app storage; browsers and operating systems may evict local data. Media trash is processed promptly after receipt and by the minute-by-minute cleanup; access-controlled edge-cache copies are removed with the media trash. Existing groups have a 30-day export grace period; their previous retention policy resumes afterward. Already-unavailable historical content cannot be recovered from the relay. Reports remain until reviewed, at most one year.
• Historical You2Chef AI usage records (task, model, token counts) expire after 90 days; no new model usage records are created. Assistant connections: until you disconnect them, at most 90 days (for sign-in connections: 90 days after their last use). Registrations of assistants: 90 days after their last use once no connection uses them. Suggestions: until you accept or dismiss them; at most the newest 50 are kept.
• Sessions: 30 days. Sign-in challenges and sync codes: 5 minutes. Rate-limit counters: until their window ends.
• Deleting an account removes its personal payment, subscription and verification records from You2Chef. Independent payment providers retain records under their own terms and legal duties. You2Chef does not promise deletion of data held independently by Apple, Google, Telegram or Stripe.

6. Your rights

You can ask for access to your data, a copy in a portable format, correction, deletion, restriction, and you can object to processing based on legitimate interest. Much of this you can do yourself in the app: Account → Sync → Download my data, Delete cloud copy and Delete account (which removes the account and everything stored for it at once). For anything else write to bartholdicamille@gmail.com. Because You2Chef has no email sign-in, we may ask you to prove the account is yours by signing in.

You may complain to a data protection authority: in Switzerland the Federal Data Protection and Information Commissioner (FDPIC / EDÖB), Feldeggweg 1, 3003 Bern, Switzerland, www.edoeb.admin.ch; in the EEA or UK the authority where you live or work.

7. Security

Connections are encrypted (HTTPS, HSTS). Passwords do not exist; passkeys and one-time codes are used instead. Tokens and codes are stored only as hashes. Access to the systems is limited to the operator.

8. Children

You2Chef is not directed at children under 13. In the EEA, people under 16 need a parent's consent to create an account.

9. Changes

We update this policy when You2Chef or the law changes, and show the date at the top. If You2Chef passes to a company the operator controls, that company becomes the controller under this policy; we will say so in the app before it happens.

Datenschutzerklärung und Cookies

Gültig ab 2026-11-03 · English

Kurz gesagt

• You2Chef funktioniert ohne Konto. Dann bleibt alles auf deinem Gerät und nichts über dich erreicht uns.
• Mit Konto speichern wir, was für die Anmeldung nötig ist, und, wenn du sie nutzt, eine Kopie deiner You2Chef-Daten zur Synchronisierung zwischen deinen Geräten.
• Keine Werbung, keine Nutzungsanalyse, und wir verkaufen oder teilen keine Daten für Marketing. Zahlungsanbieter führen bei Zahlungen Sicherheits- und Betrugsprüfungen durch.
• Bei Anmeldung werden auch Körpermaße, Allergien, Ernährungsformen, Feiertagstraditionen und Kalender zur Wiederherstellung synchronisiert. Ohne Konto bleiben diese Einstellungen lokal.
• Beiträge erreichen alle deine Freunde als getrennte private Zustellungen. Jedes Gerät behält seine Kopie lokal. Der Relay leert Inhalte nach bestätigter lokaler Speicherung oder nach sieben Tagen ohne Zustellung. Die Übertragung ist nicht Ende-zu-Ende-verschlüsselt. Freigegebene Creator veröffentlichen ihre Beiträge zusätzlich öffentlich.
• KI ist freiwillig. Zutatenerkennung und Sprachbefehle laufen auf deinem Gerät. KI-Integration verwendet ausschließlich MCP; Assistenten, die du verbindest, sehen deine Rezepte und Listen nur mit einem Token, den du erstellst, und können Änderungen nur vorschlagen.
• Du kannst jederzeit in der App alle Daten herunterladen, die Cloud-Kopie löschen oder das Konto löschen.

1. Verantwortlich

Verantwortlich ist Camille Zhuxuanxi Bartholdi, Sole proprietorship (Einzelunternehmen), Paul Feyerabend Hof 1, 8049 Zurich, Zurich, Switzerland. Kontakt: bartholdicamille@gmail.com. Siehe auch das Impressum.

Diese Erklärung folgt dem Schweizer Datenschutzgesetz (DSG) und, für Personen im Europäischen Wirtschaftsraum und im Vereinigten Königreich, der DSGVO / UK GDPR.

2. Was wir bearbeiten, wozu und auf welcher Grundlage

Ohne Konto

Deine Rezepte, Pläne, Einkaufslisten, dein Essenstagebuch, Fotos und Einstellungen liegen nur auf deinem Gerät (im Browser: Local Storage, IndexedDB und Offline-Cache; in den iOS- und Android-Apps: der Speicher der App). Wir sehen sie nicht. Beim Laden der App gehen die üblichen technischen Anfragedaten (IP-Adresse, Browser, Zeit) an unseren Hoster, siehe Abschnitt 4.

Freihändig kochen: Sprachbefehle im Kochmodus erkennt dein Telefon (in den iOS- und Android-Apps) oder dein Browser. Wo das auf dem Gerät geht (die Apps auf den meisten neueren Telefonen, aktuelles Chrome), bleibt die Aufnahme auf dem Gerät. Sonst fragt You2Chef, bevor der Sprachdienst des Telefons oder Browsers genutzt wird; dieser schickt dann, was das Mikrofon hört, solange Freihändig an ist, an Apple oder Google als eigenständig Verantwortliche. Vorgelesen wird mit den Stimmen deines Geräts. You2Chef erhält nie Aufnahmen. Zutatenerkennung und Schrittverknüpfung im Rezept-Editor laufen auf deinem Gerät.

Mit Konto

• Kontodaten: eine zufällige Konto-ID, der Anzeigename, den du wählst, wann das Konto erstellt und zuletzt benutzt wurde.
• Anmeldedaten: die öffentlichen Schlüssel und Namen deiner Passkeys (der private Schlüssel verlässt dein Gerät nie), Anmeldesitzungen (nur ein Hash des Tokens und eine grobe Gerätekategorie, bis zu 30 Tage) und Hashes deiner Wiederherstellungscodes. Wiederherstellungscodes speichern wir nie im Klartext; das Wiederherstellungs-PDF entsteht in deinem Browser und wird nie hochgeladen.
• Telegram: wenn du You2Chef in Telegram nutzt oder Telegram verknüpfst, deine numerische Telegram-ID und deine Telegram-Sprache, um darin zu antworten. Telegram bestätigt deine Identität mit signierten Startdaten, die wir prüfen, aber nicht speichern. Nachrichten an den Bot werden nur zur Antwort bearbeitet; Nachrichten mit Sync-Codes werden aus dem Chat gelöscht, sobald der Code benutzt wurde oder abläuft.
• Synchronisierte Daten: bei Anmeldung eine komprimierte Kopie deiner Bibliothek (Rezepte, Kochbücher, Essenspläne, eigene Zutaten, Utensilien und Einheiten), Planer, Einkaufs- und Vorratslisten, Essenstagebuch und Einstellungen. Wiederhergestellt werden auch: Einstellungen, Körpermaße und Ernährungsplan, Allergien, Ernährungsformen, Feiertagstraditionen, Kalender und komprimierte Bibliotheksfotos. Der Super-Status stammt aus servergeprüften Berechtigungen.
• Zahlungen: für You2Chef Super mit Telegram-Sternen: die Telegram-Zahlungs-ID, die zahlende Telegram-ID, Betrag, Datum und Erstattungsstatus. Bei Käufen im Web sind Stripe und Link der Verkäufer (siehe Abschnitt 4): Name, E-Mail-Adresse, Rechnungsland und Zahlungsdaten gehen an Stripe/Link, nicht an uns; wir erhalten Stripes Kunden-ID, die Checkout- und Abo-IDs, den Plan, Abrechnungszeitraum, Betrag, Währung und Status. Käufe in ihren Apps wickeln Apple und Google ab; wir erhalten Transaktionskennungen, Prüftokens, Plan, Umgebung, Ablaufdatum und Status, niemals Kartendaten. Wir verknüpfen den Store-Kauf über eine Kontokennung (bei Google Play einen pseudonymen Hash) mit deinem You2Chef-Konto und prüfen Abos sowie signierte Verlängerungs- und Erstattungsmitteilungen beim Store.
• Pläne: Super gilt für dich und eine weitere Person, Super Family für bis zu zehn. Wir speichern, wer zu wessen Plan gehört und seit wann, sowie Einmal-Einladungen (nur ein Hash des Codes, 7 Tage lang). Der Inhaber sieht die Anzeigenamen der Mitglieder; Mitglieder sehen den Anzeigenamen des Inhabers.
• Geschenke: wer ein Geschenk gekauft hat, was es ist (Plan und Monate), sein Code bis zur Einlösung, und wer es wann eingelöst hat. Der Käufer sieht, ob das Geschenk eingelöst wurde, nicht von wem.
• Telegram und Web verbinden: Hat das Telegram-Konto, das du verknüpfst, schon ein eigenes You2Chef-Konto, werden beide zu einem zusammengeführt: Anmeldewege, Super, Zahlungen und die Daten beider bleiben erhalten, und du wählst, welche Seite gewinnt, wo sie sich unterscheiden (etwa Einstellungen). Das andere Konto besteht danach nicht mehr.
• Creator (freiwillig, auf Freigabe): Bewirbst du dich als Creator, speichern wir deine Bewerbung (den gewünschten @Namen, einen öffentlichen Namen, einen kurzen Text über dich, bis zu fünf Links, das Datum und unseren Entscheid mit optionaler Notiz). Nur wenn wir sie annehmen, werden dein @Name, öffentlicher Name, Text und deine Links zu einem öffentlichen Profil, das alle in der Suche finden können, mit oder ohne Konto. Als Creator postest du öffentlich: Alles, was du nach der Freigabe postest, ist auf deinem Profil öffentlich (und erreicht weiterhin deine Serien); privat posten können Creator nicht. Sonst ist nichts über dein Konto öffentlich. Du kannst jederzeit aufhören, öffentlich zu sein; Profil, Bewerbung und alles öffentlich Gepostete werden dann gelöscht (deine Freunde behalten ihre lokalen Kopien). Wir können einzelne @Namen für bekannte Personen zurückhalten, die später dazukommen könnten.
• Freunde und lokale Zustellung: Wir speichern Freundschaftskennungen, private Freundeslink-Hashes (sieben Tage), Antwortfristen, Serienzahlen und minimale Zustell-/Wiederholungsdaten. Jeder Beitrag wird allen Freunden einzeln zugestellt; Antworten bleiben innerhalb dieser Freundschaft. Text, geteilte Rezeptreferenzen/-kopien und ausgewählte Fotos passieren unseren Relay. Neue native Video-Uploads sind deaktiviert; noch vorhandene ältere Anhänge bleiben exportierbar. Die App speichert Text und Anhänge lokal, bevor sie den Empfang bestätigt. Ohne ausdrücklich aktiviertes Super Cloud-Archiv eines berechtigten Teilnehmers werden bestätigte Inhalte geleert und nicht mehr referenzierte Medien sofort zur Löschung vorgemerkt. Unzugestellte Inhalte laufen nach sieben Tagen ab; die Bereinigung leert sie und löscht nicht mehr benötigte Dateien. Fotos werden geprüft und unterstützte Metadaten entfernt; Videos können Metadaten der gewählten Datei enthalten. Die optionale Super-Fotosicherung ist standardmäßig aus, unbegrenzt mit Missbrauchsschutz und setzt eine aktive Berechtigung voraus. Sie enthält den Kontext des Medienbeitrags; reine Textnachrichten werden nach lokalem Empfang weiterhin geleert. Normale Rezept-/Planer-/Einkaufslisten-Synchronisierung bleibt unverändert. Aktuelle Freundschafts- und Serienaggregate bleiben erhalten; geleerte Zustellkennungen und Empfangsdaten verfallen nach 30 Tagen und werden stündlich in begrenzten Chargen entfernt. Ohne ausdrückliches Archiv bleiben geleerte Texte und Medien nicht gespeichert. Eine Antwort bis Ende des nächsten UTC-Tages startet oder verlängert eine Serie; eine verpasste Antwort unterbricht sie. Super eines Teilnehmers ermöglicht die Wiederherstellung. Vor dem Wechsel aus bisherigen Gruppen bietet die App einen Export noch verfügbarer Daten und des bisherigen lokalen Archivs an; Gruppenverläufe werden nicht automatisch in neue Gespräche kopiert. Die Verarbeitung erfüllt den gewünschten Dienst (Vertrag); Missbrauchsschutz und Moderation beruhen auf berechtigtem Interesse. Lokale und exportierte Kopien stehen unter Kontrolle ihrer Inhaber; die Löschung im Relay kann exportierte Dateien nicht zurückrufen.
• KI-Integration: You2Chef bietet eine berechtigungsgeprüfte HTTP-API, CLI und MCP für Assistenten und Skripte. You2Chef sendet keine Fotos oder Texte an Modellanbieter. Verbundene Assistenten verarbeiten freigegebene Daten nach ihren eigenen Bedingungen. Vorschläge ändern lokale Daten erst nach deiner Zustimmung in You2Chef.
• Assistenten-Verbindungen (freiwillig): wenn du einen Assistenten (zum Beispiel Claude oder ChatGPT) über MCP, die HTTP-API oder CLI verbindest, speichern wir den Namen, den du ihm gibst, was er darf (lesen, lesen und vorschlagen oder volle Kontrolle), wann er erstellt und zuletzt genutzt wurde, und nur einen Hash seines Tokens. Mit dem Token kann der Assistent deine synchronisierten Rezepte, deinen Essensplan, deine Einkaufsliste und deinen Vorrat lesen; nie die Einstellungen sowie Gesundheits-, Ernährungs-, Glaubens- oder Kalenderdaten, auf die Assistenten keinen Zugriff haben. Seine Vorschläge (Rezepte, Einkäufe, Vorräte, Mahlzeiten) liegen in deinem Eingang, bis du sie annimmst oder verwirfst; Mit Lesen und Vorschlagen ändert sich vorher nichts. Volle Kontrolle erlaubt sofortiges Erstellen, Ändern und Löschen deiner Kochdaten, auch über HTTP-API und CLI, ohne Einzelbestätigung. Wenn du Claude, ChatGPT oder einen anderen Assistenten verbindest, indem du dich von dort bei You2Chef anmeldest (OAuth), speichern wir zusätzlich seine Registrierung (den Namen, den er angibt, und die Adressen, zu denen er dich zurückschicken darf), fünf Minuten lang einen Hash des einmaligen Anmeldecodes sowie Hashes seines Zugriffstokens (eine Stunde gültig) und seines Erneuerungstokens. Den Assistenten und seinen Anbieter wählst du selbst; sie bearbeiten, was sie lesen, nach ihren eigenen Bedingungen als eigenständig Verantwortliche.
• Sicherheit: gegen Missbrauch (Spam-Konten, Code-Raten) zählen wir Anfragen pro IP-Adresse (IPv6: pro /64-Netz), pro Konto oder pro Telegram-Nutzer, für die Dauer der jeweiligen Grenze (Minuten bis ein Tag; für die Selbst-Rückerstattung ein Jahr). Netzwerkzähler enthalten einen geheimnisgebundenen, zeitfensterbezogenen Hash statt der rohen Adresse; Kontozähler enthalten eine ID und eine Zahl. Netzwerk-Hashes verfallen mit dem Zeitfenster. Sitzungen speichern nur grobe Gerätekategorien statt vollständiger User-Agents.

Zwecke und Rechtsgrundlagen: Bereitstellung von Konto, Anmeldung, Synchronisierung und Super, die du nutzen willst (Vertrag, Art. 6 Abs. 1 lit. b DSGVO); Sicherheit, Missbrauchsabwehr und Betrieb (berechtigtes Interesse, lit. f); Buchführung über Zahlungen (rechtliche Pflicht, lit. c). Bei Anmeldung können synchronisierte Einstellungen Gesundheits- oder Glaubensinformationen enthalten. Speichere nur Einstellungen, die du in You2Chef behalten möchtest. Ohne Konto bleiben sie lokal; Assistenten erhalten keinen Zugriff darauf.

3. Cookies und Speicher auf deinem Gerät

You2Chef nutzt lokalen Speicher für den gewünschten Dienst, ohne Nutzungsanalyse oder Werbe-Cookies. Speicher der Zahlungsanbieter wird unten beschrieben; optionale Zahlungsfunktionen haben eigene Einstellungen.

Kasse im Web: Erst wenn du bezahlen möchtest, lädt You2Chef Stripe.js und das eingebettete Zahlungsformular. Kartendaten gibst du direkt in Stripes geschütztem Frame ein; You2Chef erhält sie nie. Stripe und Link verarbeiten technische Geräteinformationen und können Cookies (unter anderem __stripe_mid und __stripe_sid) für Zahlungssicherheit, Betrugsprävention und die optionale Link-Anmeldung verwenden, nach Stripes Datenschutzerklärung und Links Datenschutzerklärung. Bei der normalen Nutzung von You2Chef wird Stripes Skript nicht geladen. Für Bankbestätigungen oder bestimmte Zahlungsarten können Weiterleitungen nötig sein.

Unser Hoster Cloudflare kann ein kurzlebiges Sicherheits-Cookie (etwa __cf_bm) setzen, wenn er Menschen von Bots unterscheiden muss; es ist unbedingt nötig und wird von Cloudflare als unserem Auftragsbearbeiter gesetzt.

Native Anmeldung: Die iOS- und Android-Apps speichern das Sitzungskennwort im sicheren Keychain/Keystore des Betriebssystems, nicht in der Rezeptdatenbank oder exportierten Backups. Es läuft nach 30 Tagen ab und wird bei Abmeldung, Kontolöschung oder erkannter Sperrung entfernt. Für native Cloud-Synchronisierung gelten dieselben Ausnahmen: Einstellungen und komprimierte Bibliotheksfotos werden bei Anmeldung wiederhergestellt. Die Kontolöschung entfernt native Prüftokens; personenbezogene Store-Abo-Kennungen werden ebenfalls entfernt.

4. Empfänger und Auftragsbearbeiter

• Cloudflare, Inc. (USA) betreibt App, Server, Datenbank und die Fotos privater Beiträge (Workers, D1, R2). Cloudflare bearbeitet Anfragedaten (darunter IP-Adresse und User-Agent) unter seinen Infrastrukturkontrollen. You2Chef deaktiviert gespeicherte Aufruflogs, entfernt Query-Strings und erfasst verbleibende App-Diagnosen mit 1 % Stichprobe. Sicherheitslogs und Backups des Anbieters haben dessen Aufbewahrung; dies ist keine Ende-zu-Ende-Verschlüsselung. Cloudflare ist unser Auftragsbearbeiter mit Auftragsbearbeitungsvertrag; Übermittlungen stützen sich auf das EU-US- und das Swiss-US-Data-Privacy-Framework und Standardvertragsklauseln.
• Telegram (Telegram FZ-LLC und Telegram Group Inc.), wenn du You2Chef in Telegram, den Bot oder Sterne nutzt. Telegram ist eigenständig verantwortlich nach seiner Datenschutzerklärung. Die Web-App lädt bei jedem Besuch Telegrams Mini-App-Skript von telegram.org, damit sie in Telegram läuft; dabei sieht Telegram deine IP-Adresse und deinen Browser.
• Stripe und Link (Stripe Payments Europe, Ltd., Irland, und weitere Stripe-Gesellschaften, auch in den USA) für Käufe im Web. Stripes Händlerdienst (Merchant of Record) verkauft dir das Abo oder Geschenk als Sold through Link: Er nimmt die Zahlung entgegen, kümmert sich um Steuern, Belege, Erstattungen, Betrugsprüfung und Rückbuchungen und lässt dich das Abo auf link.com verwalten, als eigenständig Verantwortlicher nach den Datenschutzerklärungen von Stripe und Link. Übermittlungen in die USA stützen sich auf das EU-US- und das Swiss-US-Data-Privacy-Framework und Standardvertragsklauseln.
• Apple und Google als eigenständig Verantwortliche für Käufe in ihren App-Stores.

Wir verkaufen keine Personendaten und geben sie niemandem sonst weiter, ausser das Gesetz verpflichtet uns.

5. Wie lange wir Daten aufbewahren

• Konto-, Anmelde- und synchronisierte Daten: bis du sie oder das Konto löschst.
• Inaktive Konten: Kostenlose Konten und ihre personenbezogenen Daten werden nach 183 Tagen ohne Kontonutzung gelöscht. Anerkannte Creator und Konten mit aktivem Super einschließlich berechtigter geteilter Plätze sind ausgenommen. Lokale und exportierte Kopien anderer Geräte stehen unter Kontrolle ihrer Inhaber.
• Freundes-Relay-Inhalte: bis zur Bestätigung nach dauerhafter lokaler Speicherung, unzugestellt höchstens sieben Tage. Berechtigte, aktivierte Super-Archive: bis zur Löschung, Abschaltung des Archivs oder Ende von Super; die Bereinigung entfernt abgelaufene Relay-Inhalte. Geleerte Zustellhüllen und Empfangsdaten: 30 Tage, danach begrenzte stündliche Bereinigung unter Erhalt überfälliger Serienfolgen. Aktuelle Freundschafts- und Serienaggregate bleiben bis zur Entfernung der Freundschaft/des Kontos. Entfernte Bibliotheksbild-Referenzen erhalten sieben Tage Wiederholungspuffer; Konto-/Datenlöschung überspringt diesen. Admin-Prüfereignisse: 30 Tage. Lokaler Verlauf und Ausgang: bis zur lokalen Löschung, Abmeldung/Kontowechsel, Kontolöschung oder Leerung des Speichers; Browser und Betriebssystem können lokale Daten entfernen. Medienmüll wird nach Empfang und minütlich bearbeitet; kurzlebige, zugriffsgeschützte Cache-Kopien laufen innerhalb einer Stunde ab. Bisherige Gruppen erhalten eine 30-tägige Exportfrist; danach gilt wieder die frühere Aufbewahrung. Bereits fehlende historische Inhalte kann der Relay nicht wiederherstellen. Meldungen bleiben bis zur Prüfung, höchstens ein Jahr.
• Historische Nutzungsdaten von You2Chef KI (Aufgabe, Modell, Tokenzahlen) laufen nach 90 Tagen ab; neue Modell-Nutzungsdaten entstehen nicht. Assistenten-Verbindungen: bis du sie trennst, höchstens 90 Tage (bei Anmelde-Verbindungen: 90 Tage nach der letzten Nutzung). Registrierungen von Assistenten: 90 Tage nach der letzten Nutzung, sobald keine Verbindung sie mehr nutzt. Vorschläge: bis du sie annimmst oder verwirfst; es bleiben höchstens die neuesten 50.
• Sitzungen: 30 Tage. Anmelde-Challenges und Sync-Codes: 5 Minuten. Zähler der Ratenbegrenzung: bis ihr Zeitfenster endet.
• Die Kontolöschung entfernt personenbezogene Zahlungs-, Abo- und Prüfdaten aus You2Chef. Unabhängige Zahlungsanbieter bewahren ihre Daten nach eigenen Bedingungen und gesetzlichen Pflichten auf.

6. Deine Rechte

Du kannst Auskunft, eine Kopie in übertragbarem Format, Berichtigung, Löschung und Einschränkung verlangen und der Bearbeitung aufgrund berechtigten Interesses widersprechen. Vieles geht direkt in der App: Konto → Synchronisierung → Meine Daten herunterladen, Cloud-Kopie löschen und Konto löschen (entfernt das Konto und alles dazu Gespeicherte sofort). Für alles andere schreibe an bartholdicamille@gmail.com. Da You2Chef keine E-Mail-Anmeldung hat, bitten wir dich eventuell, durch Anmeldung zu zeigen, dass das Konto dir gehört.

Du kannst dich bei einer Datenschutzbehörde beschweren: in der Schweiz beim Federal Data Protection and Information Commissioner (FDPIC / EDÖB), Feldeggweg 1, 3003 Bern, Switzerland, www.edoeb.admin.ch; im EWR oder Vereinigten Königreich bei der Behörde deines Wohn- oder Arbeitsorts.

7. Sicherheit

Verbindungen sind verschlüsselt (HTTPS, HSTS). Passwörter gibt es nicht; stattdessen Passkeys und Einmalcodes. Tokens und Codes werden nur als Hashes gespeichert. Zugriff auf die Systeme hat nur der Betreiber.

8. Kinder

You2Chef richtet sich nicht an Kinder unter 13 Jahren. Im EWR brauchen Personen unter 16 Jahren für ein Konto die Zustimmung eines Elternteils.

9. Änderungen

Wir passen diese Erklärung an, wenn sich You2Chef oder das Recht ändert, und zeigen das Datum oben. Geht You2Chef an eine vom Betreiber kontrollierte Gesellschaft über, wird diese Verantwortliche nach dieser Erklärung; wir kündigen das vorher in der App an.