Datenschutzerklärung für Nestling

Stand: 11. Juli 2026

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten Nestling verarbeitet, zu welchen Zwecken dies geschieht und welche Rechte dir zustehen. Sie gilt für die Nestling-iOS-App und die Website nestling.canopylabs.dev.

Nestling ist eine Lern-App zur Vogelbestimmung. Wir haben sie so gebaut, dass sie so wenige Daten wie möglich von dir benötigt, und diese Erklärung ist zum Lesen gedacht, nicht zum Wegklicken. Wenn etwas unklar ist, schreib uns; die Kontaktdaten findest du unten.

Das Wichtigste in Kürze

Wir verarbeiten deine E-Mail-Adresse, deinen Lernfortschritt und einige Einstellungen, dazu die kurzlebigen technischen Server-Logs, die jeder Online-Dienst erzeugt (Abschnitt 2.5). Das ist alles.
Keine Werbung. Kein Tracking. Kein Datenverkauf. Keine Analyse- oder Werbe-SDKs von Drittanbietern in der App.
Du kannst die App schon vor einer Registrierung nutzen, dein Fortschritt wird unter einem anonymen Konto gespeichert, das keinerlei Kontaktdaten enthält: keine E-Mail-Adresse, kein Name.
Deine Daten werden in der EU (Irland) gespeichert.
Du kannst dein Konto samt aller Daten selbst löschen, direkt in der App.

Der Rest dieser Erklärung ist die ausführliche Fassung dieser Aussagen.

1. Verantwortlicher

Anton Rösler, handelnd unter Canopy Labs
Einzelunternehmer, ansässig in Frankfurt am Main, Deutschland
Wittelsbacherallee 102
60385 Frankfurt am Main
Deutschland
E-Mail: [email protected]

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu nicht verpflichtet sind: Nestling wird von einem Einzelunternehmer betrieben, und die Datenverarbeitung ist in Umfang und Sensibilität begrenzt. Über die obige Adresse erreichst du unmittelbar die verantwortliche Person.

2. Welche Daten wir verarbeiten, wozu und auf welcher Rechtsgrundlage

2.1 Anonyme Konten vor der Registrierung

Wenn du die App zum ersten Mal öffnest, kann sie ein anonymes Konto anlegen, damit dein Lernfortschritt gespeichert werden kann, bevor du dich für eine Registrierung entscheidest. Dieses Konto besteht aus einer zufällig erzeugten Nutzerkennung (UUID) und den unten beschriebenen Lerndaten. Es enthält nichts, was dich unmittelbar identifiziert, keine E-Mail-Adresse, keinen Namen. Rechtlich handelt es sich dennoch um pseudonyme personenbezogene Daten; deshalb nennen wir auch hierfür eine Rechtsgrundlage.

Registrierst du dich später, wird das anonyme Konto direkt in ein registriertes Konto überführt: deine E-Mail-Adresse wird mit derselben Nutzerkennung verknüpft, und dein bisheriger Fortschritt bleibt erhalten. Es wird nichts im Hintergrund kopiert oder zusammengeführt, es ist dasselbe Konto, nur jetzt mit einer E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Erfüllung des Vertrags über die Nutzung der App, der mit der Nutzung von Nestling beginnt, mit oder ohne registriertes Konto.

2.2 Kontodaten

Bei der Registrierung verarbeiten wir:

E-Mail-Adresse, für die Anmeldung (Passwort oder Magic Link), für den Versand der dafür nötigen Anmelde- und Konto-E-Mails sowie um dich bei Bedarf zu deinem Konto kontaktieren zu können.
Nutzerkennung (UUID), eine zufällige Kennung, die deinen Fortschritt deinem Konto zuordnet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Erfüllung des Vertrags zwischen dir und uns (Bereitstellung der App und Betrieb deines Kontos).

Du bist nicht verpflichtet, eine E-Mail-Adresse anzugeben. Ohne sie können wir jedoch kein vollständiges Konto für dich anlegen, du kannst die App weiterhin anonym auf einem Gerät nutzen, mit den damit verbundenen Einschränkungen (keine Wiederherstellung, wenn das Gerät oder die App-Daten verloren gehen).

2.3 Lernaktivität

Der Kern der App ist dein Lernfortschritt, den wir mit deinem Konto verknüpft speichern:

Übungseinheiten und Antworten auf einzelne Fragen, einschließlich der gewählten Antwort, ob sie richtig war und wie schnell du geantwortet hast (Zeitstempel und Antwortzeiten)
XP, Serien (Streaks) und Übungstage
Lernfortschritt je Vogelart
Deine Daily-Bird-Runden, deine Rateversuche und wann du das Rätsel gelöst hast

Wir verwenden diese Daten für genau einen Zweck: den Betrieb der App, deinen Fortschritt anzuzeigen, deine nächsten Übungen zu planen und Serien korrekt zu führen. Der Übungsplan passt sich deinen Antworten an; das ist Spaced-Repetition-Planung innerhalb der App, kein Profiling, das dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO findet keine Anwendung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, diese Daten *sind* die Leistung.

2.4 Einstellungen

Wir speichern eine kleine Zahl von Einstellungen mit deinem Konto verknüpft, damit sie dir über Geräte hinweg folgen: deine Heimatzeitzone, deine gewählte Übungszeit, deine Antworten aus der Einstufung beim Onboarding, dein aktives Lernpaket, die Lernpakete, denen du beigetreten bist (und wann du jedes zuletzt genutzt hast), den Status deiner Benachrichtigungseinstellungen sowie kleine App-Zustandsmarker, etwa ob wir dir die Aufforderung zur Kontoerstellung bereits angezeigt haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

2.5 Server-Logs und IP-Adressen

Die App selbst erhebt deine IP-Adresse, Geräte-Fingerprints oder Nutzungsstatistiken nicht gezielt. Aber wir wollen ehrlich beschreiben, wie das Internet funktioniert: Wenn dein Gerät mit unseren Servern kommuniziert, verarbeitet die Hosting-Infrastruktur zwangsläufig deine IP-Adresse und technische Metadaten der Anfrage (Zeitstempel, aufgerufene Endpunkte, Statuscodes) in kurzlebigen Server-Logs. Das gilt für jeden Online-Dienst; wir sprechen es lediglich offen aus.

Wir nutzen diese Logs ausschließlich, um den Dienst sicher und funktionsfähig zu halten, Missbrauch zu erkennen, Störungen zu beheben und Angriffe abzuwehren. Sie werden nicht zur Profilbildung verwendet, nicht zu anderen Zwecken mit deinen Lerndaten zusammengeführt und nur für kurze Zeit aufbewahrt, bevor sie automatisch gelöscht oder rotiert werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Betrieb eines sicheren, funktionierenden Dienstes. Du kannst dieser Verarbeitung widersprechen (siehe Abschnitt 9); ein Mindestmaß an technischer Protokollierung ist für den Betrieb eines Servers allerdings unvermeidlich.

2.6 Website

Die Website nestling.canopylabs.dev informiert über Nestling. Künftig wirst du Nestling auch im Browser nutzen können, mit demselben Konto und demselben Backend wie in der App. Beim Besuch entstehen dieselben technischen Server-Logs wie in Abschnitt 2.5 beschrieben, auf derselben Rechtsgrundlage. Wenn du dich im Web anmeldest, gelten die Abschnitte 2.1 bis 2.4 genauso wie in der App (zu Cookies und Gerätespeicher siehe Abschnitt 4).

3. Was wir NICHT tun

Keine Werbung: Nestling enthält keine Werbung, und es werden keine Werbe-Identifier ausgelesen oder gesetzt.
Kein Tracking: keinerlei App- oder websiteübergreifendes Tracking. Das Apple-Privacy-Manifest der App deklariert kein Tracking, und das stimmt.
Kein Verkauf und keine Weitergabe von Daten: wir verkaufen, vermieten oder tauschen deine personenbezogenen Daten nicht; sollte sich daran je etwas ändern, verpflichtet uns Abschnitt 12, dich vorab zu informieren.
Keine Analyse- oder Werbe-SDKs von Drittanbietern in der App.
Keine Erhebung deines Standorts, deiner Kontakte, Fotos, Gesundheitsdaten oder von Mikrofonaufnahmen. Die App spielt Vogelstimmen ab; sie nimmt niemals etwas auf.

4. Daten, die auf deinem Gerät bleiben

Manche Daten verlassen dein Gerät nie. Sie werden lokal gespeichert und nicht an uns übertragen:

die Spracheinstellung der Benutzeroberfläche
Marker für erstmalige Hinweise und der Marker „Onboarding abgeschlossen“
ein Tageszähler für den Feldmodus
heruntergeladene Tour-Inhalte (Bilder und Vogelstimmen) im Cache für die Offline-Nutzung
ein Zwischenstand während des laufenden Onboardings (dein aktueller Schritt und die bisherigen Antworten; wird nach Abschluss gelöscht)
Zähler zur zeitlichen Steuerung der Aufforderung zur Kontoerstellung (abgeschlossene Touren, auf diesem Gerät gelernte Arten)

Mit dem Löschen der App werden diese lokalen Daten entfernt. Da sie unsere Server nie erreichen, verarbeiten wir sie überhaupt nicht, wir führen sie hier nur auf, damit du weißt, dass es sie gibt.

4.1 Cookies und Gerätespeicher

Alles, was Nestling auf deinem Gerät speichert, die oben genannten App-Daten, gecachte Tour-Inhalte und (sobald die Web-Anmeldung startet) die Cookies bzw. der Browser-Speicher, die dich angemeldet halten, ist für die Bereitstellung des von dir gewünschten Dienstes unbedingt erforderlich. Nach § 25 Abs. 2 Nr. 2 TDDDG ist dafür keine Einwilligung nötig; deshalb siehst du auch keinen Cookie-Banner. Analyse- oder Werbe-Cookies setzen wir überhaupt nicht.

5. Empfänger deiner Daten

Wir setzen eine kleine Zahl von Dienstleistern ein. Unsere Auftragsverarbeiter handeln ausschließlich auf unsere Weisung auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) und sind vertraglich verpflichtet, deine Daten mindestens auf dem in dieser Erklärung beschriebenen Niveau zu schützen.

Anbieter	Aufgabe	Standort
Supabase, Inc. (USA)	Datenbank, Authentifizierung, Dateispeicher, Server-Funktionen sowie die Anmelde- und Konto-E-Mails für das App-Backend	Gehostet auf AWS in eu-west-1 (Irland, EU) (AWS ist Unterauftragsverarbeiter von Supabase)
Cloudflare, Inc. (USA)	Liefert die Website nestling.canopylabs.dev aus und verarbeitet kurzlebige technische Zugriffslogs an ihrem Edge	Globales Edge-Netzwerk, Auslieferung von einem Standort in deiner Nähe

Apple Inc. vertreibt die App über den App Store und wickelt die Zahlungen für das Nestling+-Abonnement ab. Apple handelt dabei als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung, deine Zahlungsdaten sehen wir zu keinem Zeitpunkt.

An andere geben wir deine Daten nicht weiter, es sei denn, wir sind gesetzlich dazu verpflichtet (etwa durch eine verbindliche Anordnung einer zuständigen Behörde).

6. Datenübermittlung in Drittländer

Deine Konto- und Lerndaten liegen auf Servern in Irland (EU). Die EU-Region haben wir bewusst gewählt.

Supabase, Inc. ist ein US-Unternehmen. Auch bei EU-Hosting lässt sich ein begrenzter Zugriff aus den USA (etwa für Support oder Infrastrukturbetrieb) nicht vollständig ausschließen. Dies ist durch unseren Auftragsverarbeitungsvertrag mit Supabase abgedeckt, der die EU-Standardvertragsklauseln (SCC) einbezieht. Eine Kopie dieser Garantien kannst du per E-Mail an [email protected] anfordern. Supabase veröffentlicht sein Data Processing Addendum, das die SCC einbezieht, außerdem unter https://supabase.com/legal/dpa.

Apple verarbeitet App-Store-Daten als eigenständiger Verantwortlicher für das Kaufverhältnis auf Grundlage eigener Übermittlungsmechanismen.

7. Speicherdauer

Konto- und Lerndaten: solange dein Konto besteht. Löschst du dein Konto, werden sie gelöscht (siehe Abschnitt 8).
Anonyme Konten: werden genauso behandelt. Anonyme Konten, die seit 90 Tagen nicht genutzt wurden, werden automatisch gelöscht: ohne E-Mail-Adresse am Konto gibt es keinen anderen Weg, uns zu erreichen und nachzufragen.
Server-Logs: nur für kurze Zeit (in der Größenordnung von Tagen bis wenigen Wochen, gemäß der Rotation des Hosting-Anbieters), danach automatische Löschung.
Gesetzlich aufzubewahrende Daten: Da Nestling ein kostenpflichtiges Abonnement (Nestling+) anbietet, verpflichtet uns das deutsche Handels- und Steuerrecht, abrechnungsbezogene Unterlagen für die gesetzlichen Fristen (bis zu 10 Jahre) aufzubewahren. Das betrifft Rechnungsdaten, nicht deinen Lernfortschritt.

8. Löschung deines Kontos

Du kannst dein Konto direkt in der App löschen: Einstellungen → Konto löschen. Dabei wird eine serverseitige Löschung ausgeführt, die deinen Authentifizierungs-Nutzer und alle zugehörigen Daten entfernt, E-Mail-Adresse, Lernfortschritt, Einstellungen, alles, was mit deiner Nutzerkennung verknüpft ist. Es handelt sich um eine echte Löschung, nicht um eine Deaktivierung.

Wenn du die Löschung in der App nicht nutzen kannst (etwa weil du die App nicht mehr hast), schreib uns an [email protected], wir löschen dein Konto dann für dich.

Lokal auf deinem Gerät gespeicherte Daten (Abschnitt 4) entfernst du durch Löschen der App.

9. Deine Rechte (Betroffenenrechte)

Nach der DSGVO hast du das Recht auf:

Auskunft (Art. 15): zu erfahren, welche Daten wir über dich gespeichert haben, und eine Kopie zu erhalten.
Berichtigung (Art. 16): unrichtige Daten korrigieren zu lassen.
Löschung (Art. 17): deine Daten löschen zu lassen. Die Löschung in der App (Abschnitt 8) ist der schnellste Weg.
Einschränkung der Verarbeitung (Art. 18): die Verarbeitung deiner Daten aussetzen zu lassen, während eine Streitfrage dazu geklärt wird.
Datenübertragbarkeit (Art. 20): die von dir bereitgestellten Daten in einem maschinenlesbaren Format zu erhalten.

Widerspruchsrecht (Art. 21 DSGVO). Du kannst der Verarbeitung, die wir auf berechtigte Interessen stützen (das ist die in Abschnitt 2.5 beschriebene Server-Log-Verarbeitung), jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Schreib uns eine E-Mail; wir prüfen den Widerspruch.

Zur Ausübung dieser Rechte schreib an [email protected]. Wir antworten innerhalb eines Monats. Bei ungewöhnlich komplexen Anfragen erlaubt die DSGVO eine Verlängerung um bis zu zwei weitere Monate, sollten wir das je benötigen, teilen wir es dir innerhalb des ersten Monats mit und begründen es.

Du hast außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 3163, 65021 Wiesbaden, Deutschland
https://datenschutz.hessen.de

Du kannst dich auch an die Aufsichtsbehörde deines eigenen EU-Mitgliedstaats wenden.

10. Kinder

Nestling ist eine App für ein allgemeines Publikum und richtet sich nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn du glaubst, dass ein Kind ein Konto angelegt hat, kontaktiere uns, wir löschen es.

11. Abonnement und geplante Funktionen

Nestling+-Abonnement. Nestling bietet ein optionales, kostenpflichtiges und automatisch verlängerbares Abonnement, erhältlich ausschließlich über Apples In-App-Kauf. Apple wickelt die Zahlung als eigenständiger Verantwortlicher ab; deine Zahlungsdaten sehen wir zu keinem Zeitpunkt. Etwaige gesetzlich aufzubewahrende Abrechnungsunterlagen sind von Abschnitt 7 abgedeckt.
Absturzberichte. Wir planen, Absturzberichte (über Sentry) einzuführen, um Fehler schneller beheben zu können. Diese Funktion ist heute nicht in der App enthalten. Bevor sie erscheint, aktualisieren wir diese Erklärung mit den Einzelheiten (Inhalt der Absturzberichte, Rechtsgrundlage, Speicherdauer).

Absturzberichte sind zum oben genannten Stand nicht aktiv.

12. Änderungen dieser Datenschutzerklärung

Wenn wir diese Erklärung ändern, aktualisieren wir sie auf nestling.canopylabs.dev und passen das Datum oben an. Über wesentliche Änderungen (neue Datenkategorien, neue Empfänger, neue Zwecke) informieren wir dich zusätzlich in der App oder per E-Mail, bevor die Änderung wirksam wird. Wir verschlechtern deinen Datenschutz nicht im Stillen.

13. Kontakt

Fragen, Anliegen oder Anfragen zu deinen Daten:

Anton Rösler (Canopy Labs)
Wittelsbacherallee 102
60385 Frankfurt am Main
Deutschland
[email protected]

Nestling Privacy Policy

Last updated: 11 July 2026

This policy explains what personal data Nestling processes, why, and what rights you have. It covers the Nestling iOS app and the website at nestling.canopylabs.dev.

Nestling is a bird-identification learning app. We built it to need as little of your data as possible, and this policy is written to be read, not skimmed past. If anything is unclear, write to us — the contact details are below.

The short version

We process your email address, your learning progress, and a few settings — plus the short-lived technical server logs any online service produces (Section 2.5). That is it.
No ads. No tracking. No sale of data. No third-party analytics or advertising SDKs in the app.
You can use the app before creating an account — progress is stored under an anonymous account that contains no contact details: no email, no name.
Your data is stored in the EU (Ireland).
You can delete your account and all your data yourself, directly in the app.

The rest of this policy is the detail behind those statements.

1. Who is responsible (controller)

Anton Rösler, trading as Canopy Labs
Sole proprietor (Einzelunternehmer), registered in Frankfurt am Main, Germany
Wittelsbacherallee 102
60385 Frankfurt am Main
Germany
Email: [email protected]

We have not appointed a data protection officer, as we are not required to — Nestling is run by a sole proprietor and data processing is limited in scale and sensitivity. The contact above reaches the person responsible directly.

2. What we process, why, and on what legal basis

2.1 Anonymous accounts before sign-up

When you first open the app, it may create an anonymous account so your learning progress can be saved before you decide to sign up. This account consists of a randomly generated user ID (UUID) and the learning data described below. It contains nothing that directly identifies you — no email, no name. Legally it is still pseudonymous personal data, which is why we state a legal basis for it below.

If you later sign up, the anonymous account is upgraded in place: your email address is attached to the same user ID, and your existing progress carries over. Nothing is copied or merged behind the scenes — it is the same account, now with an email on it.

Legal basis: Art. 6(1)(b) GDPR — performance of the contract for using the app, which begins when you start using Nestling, with or without a registered account.

2.2 Account data

When you sign up, we process:

Email address — used to sign you in (password or magic link), to send the sign-in and account emails that make this work, and to reach you about your account if we ever need to.
User ID (UUID) — a random identifier that ties your progress to your account.

Legal basis: Art. 6(1)(b) GDPR — performance of the contract between you and us (providing the app and keeping your account working).

You are not obliged to provide an email address, but without one we cannot create a full account for you — you can still use the app anonymously on one device, with the limitations that implies (no recovery if the device or app data is lost).

2.3 Learning activity

The core of the app is your learning progress, which we store linked to your account:

practice sessions and per-question attempts, including which answer you chose, whether it was correct, and how quickly you answered (timestamps and response times)
XP, streaks, and practice days
per-species learning progress
your Daily Bird plays — the guesses you made and when you solved the puzzle

We use this data for exactly one thing: making the app work — showing your progress, scheduling what you should practise next, and keeping streaks honest. The practice schedule adapts to your answers; this is spaced-repetition scheduling inside the app, not profiling with legal or similarly significant effects on you (Art. 22 GDPR does not apply).

Legal basis: Art. 6(1)(b) GDPR — this data *is* the service.

2.4 Preferences

We store a small set of settings linked to your account so they follow you across devices: your home timezone, your chosen practice time, your onboarding placement answers, your active learning pack, the learning packs you have joined (and when you last used each), your notification-settings status, and small app-state flags such as whether we have already shown you the account sign-up prompt.

Legal basis: Art. 6(1)(b) GDPR.

2.5 Server logs and IP addresses

The app itself does not deliberately collect your IP address, device fingerprints, or usage analytics. But we want to be honest about how the internet works: when your device talks to our servers, the hosting infrastructure inevitably processes your IP address and technical request metadata (timestamps, requested endpoints, response codes) in short-lived server logs. This is true of every online service; we are just saying it out loud.

We use these logs solely to keep the service secure and operational — detecting abuse, debugging outages, and defending against attacks. They are not used to build profiles, are not combined with your learning data for any other purpose, and are retained only for a short period before being deleted or rotated automatically.

Legal basis: Art. 6(1)(f) GDPR — our legitimate interest in operating a secure, functioning service. You may object to this processing (see Section 9), though some technical logging is unavoidable for any server to function.

2.6 Website

The nestling.canopylabs.dev website provides information about Nestling. In future you will also be able to use Nestling itself in the browser, with the same account and backend as the app. Visiting it produces the same kind of technical server logs described in 2.5, on the same legal basis. If you sign in on the web, sections 2.1–2.4 apply exactly as in the app (see Section 4 on cookies and device storage).

3. What we do NOT do

No advertising — there are no ads in Nestling and no advertising identifiers are read or set.
No tracking — no cross-app or cross-site tracking of any kind. The app's Apple privacy manifest declares no tracking, and that is accurate.
No sale or sharing of data — we do not sell, rent, or trade your personal data, and Section 12 obliges us to tell you before any change of course.
No third-party analytics or advertising SDKs in the app.
No collection of your location, contacts, photos, health data, or microphone audio. The app plays bird sounds; it never records anything.

4. Data that stays on your device

Some data never leaves your device at all. It is stored locally and is not transmitted to us:

UI language preference
first-time hint flags and the onboarding-completed flag
a daily counter for Field mode
downloaded tour assets (images and sounds) cached for offline use
a resume record while onboarding is in progress (your current step and answers so far, cleared when you finish)
counters used to time the account sign-up prompt (tours completed, species learned on this device)

Deleting the app removes this local data. Since it never reaches our servers, we do not process it at all — it is listed here so you know it exists.

4.1 Cookies and device storage

Everything Nestling stores on your device — the app data above, cached tour assets, and (once web sign-in launches) the cookies or browser storage that keep you signed in — is strictly necessary to provide the service you request. Under § 25(2) TDDDG this requires no consent, which is why you will not see a cookie banner. We set no analytics or advertising cookies at all.

5. Who receives your data (recipients)

We use a small number of service providers. Our processors act only on our instructions under a data-processing agreement (Art. 28 GDPR) and are contractually required to protect your data to at least the standard described in this policy.

Provider	What they do	Where
Supabase, Inc. (USA)	Database, authentication, file storage, server functions, and the sign-in and account emails for the app backend	Hosted on AWS in eu-west-1 (Ireland, EU) (AWS acts as Supabase's sub-processor)
Cloudflare, Inc. (USA)	Serves the nestling.canopylabs.dev website and processes short-lived technical request logs at its edge	Global edge network, served from a location near the visitor

Apple Inc. distributes the app via the App Store and processes payments for the Nestling+ subscription. Apple acts as an independent controller under its own privacy policy — we never see your payment details.

We do not pass your data to anyone else, except where the law obliges us to (for example, a binding order from a competent authority).

6. International transfers

Your account and learning data live on servers in Ireland (EU). We chose an EU region deliberately.

Supabase, Inc. is a US company. Even with EU hosting, limited access from the US (for example, for support or infrastructure operations) cannot be fully excluded. This is covered by our data-processing agreement with Supabase, which incorporates the EU Standard Contractual Clauses (SCCs). You can request a copy of these safeguards by emailing us at [email protected]. Supabase also publishes its data-processing addendum, which incorporates the SCCs, at https://supabase.com/legal/dpa.

Apple processes App Store data under its own transfer mechanisms as an independent controller for the purchase relationship.

7. How long we keep data

Account and learning data: for as long as your account exists. When you delete your account, it is deleted (see Section 8).
Anonymous accounts: treated the same. Anonymous accounts that have not been used for 90 days are deleted automatically — without an email on the account, there is no other way to reach us and ask.
Server logs: a short period only (on the order of days to a few weeks, per the hosting provider's rotation), then deleted automatically.
Data we are legally required to retain: because Nestling offers a paid subscription (Nestling+), German commercial and tax law require us to keep billing-related records for the statutory periods (up to 10 years). This applies to invoicing data, not your learning progress.

8. Deleting your account

You can delete your account directly in the app: Settings → Delete account. This runs a server-side deletion that removes your authentication user and all associated data — email address, learning progress, preferences, everything tied to your user ID. This is a real deletion, not a deactivation.

If you cannot use the in-app deletion (for example, you no longer have the app), email us at [email protected] and we will delete your account for you.

Locally cached data on your device (Section 4) is removed by deleting the app.

9. Your rights

Under the GDPR you have the right to:

Access (Art. 15) — ask what data we hold about you and get a copy.
Rectification (Art. 16) — have inaccurate data corrected.
Erasure (Art. 17) — have your data deleted. The in-app deletion (Section 8) is the fastest way.
Restriction of processing (Art. 18) — have us pause the use of your data while a dispute about it is resolved.
Data portability (Art. 20) — receive the data you provided in a machine-readable format.

Right to object (Art. 21 GDPR). You may object at any time, on grounds relating to your particular situation, to the processing we base on legitimate interests — that is the server-log processing described in Section 2.5. Email us and we will assess it.

To exercise any of these, email [email protected]. We will respond within one month. If a request is unusually complex, the GDPR allows up to two further months — if we ever need that, we will tell you within the first month and explain why.

You also have the right to lodge a complaint with a supervisory authority (Art. 77 GDPR). The authority responsible for us is:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI)
Postfach 3163, 65021 Wiesbaden, Germany
https://datenschutz.hessen.de

You may also complain to the supervisory authority of your own EU member state.

10. Children

Nestling is a general-audience app and is not directed at children. We do not knowingly collect personal data from children under 16. If you believe a child has created an account, contact us and we will delete it.

11. Subscription and planned features

Nestling+ subscription. Nestling offers an optional paid auto-renewable subscription, purchased exclusively through Apple In-App Purchase. Apple processes the payment as an independent controller; we never see your payment details. Any billing-related records we are legally required to keep are covered by Section 7.
Crash reporting. We plan to add crash reporting (via Sentry) so we can fix bugs faster. It is not in the app today. Before it ships, we will update this policy with the details (what crash reports contain, legal basis, retention).

Crash reporting is not active as of the date at the top of this policy.

12. Changes to this policy

When we change this policy, we will update it at nestling.canopylabs.dev and adjust the date at the top. For significant changes — new categories of data, new recipients, new purposes — we will additionally inform you in the app or by email before the change takes effect. We will not degrade your privacy quietly.

13. Contact

Questions, requests, or concerns about your data:

Anton Rösler (Canopy Labs)
Wittelsbacherallee 102
60385 Frankfurt am Main
Germany
[email protected]