Privacy Policy

Stand: 01.06.2026

Diese Datenschutzerklärung informiert dich darüber, wie wir mit deinen personenbezogenen Daten umgehen, wenn du die App circady („App") oder unsere zugehörige Webseite nutzt.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO):

Markus Kant
Postanschrift siehe Impressum

E-Mail: circady.support@gmail.com
Webseite: https://circady.app

2. Überblick

circady speichert deine Inhalte primär lokal auf deinem Gerät. Für Account, Subscription-Verwaltung und optionale Inhalts-Synchronisation zwischen Geräten nutzen wir externe Dienste (Apple, Supabase). Zur Verbesserung der App erheben wir zudem eine eigene, jederzeit abschaltbare Nutzungsanalyse in unserer Supabase-Datenbank (siehe Abschnitt 9). Wir betreiben keine eigene Werbung und kein Cross-App-Tracking und geben keine Daten an Werbenetzwerke weiter.

Im Detail:

Bereich	Ort der Verarbeitung
Routinen, Logs, Settings (lokal)	dein iOS-Gerät
HealthKit-Daten	dein Gerät und Apple Health (nicht auf unseren Servern)
Account / Login	Apple („Mit Apple anmelden") + Supabase Auth
Synchronisierte App-Inhalte	Supabase
Nutzungsanalyse (standardmäßig aktiv, abschaltbar)	Supabase
Subscription / In-App-Käufe	Apple In-App-Purchase (StoreKit)
Gerätedaten-Sync (optional)	iCloud (Apple)
Crash- & Diagnose-Daten	Apple (anonymisiert)

3. Account: „Mit Apple anmelden" (Sign in with Apple)

Für die Anmeldung in circady nutzen wir ausschließlich „Mit Apple anmelden". Bei der Anmeldung kannst du wählen, ob du deine echte E-Mail-Adresse oder eine Apple Relay-Adresse („Hide My Email") teilst.

Daten, die wir dadurch erhalten und in Supabase speichern:

Stabile Apple-User-Kennung
E-Mail-Adresse (echte oder Relay)
Optional einmalig der von dir bei Erstanmeldung freigegebene Name

Zweck: Wiedererkennung deines Accounts über Geräte hinweg, Subscription-Zuordnung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des App-Accounts).

Apple-Datenschutzerklärung: apple.com/legal/privacy

4. Account-Backend: Supabase

Für Account-Speicherung und Synchronisation deiner App-Inhalte (z. B. eigene Routinen, Einstellungen) zwischen deinen Geräten setzen wir Supabase ein.

Anbieter: Supabase, Inc., 970 Toa Payoh North #07-04, Singapore 318992 (bzw. eingetragene US-Niederlassung)

Webseite: supabase.com · Datenschutz: supabase.com/privacy

Standort der verarbeiteten Daten: Europäische Union — Region Frankfurt am Main, Deutschland (AWS, eu-central-1). Eine Übermittlung in ein Drittland findet nicht statt. Da die Muttergesellschaft Supabase, Inc. ihren Sitz außerhalb der EU hat, bestehen ergänzend EU-Standardvertragsklauseln als zusätzliche Garantie.

Verarbeitete Daten:

Apple-User-Kennung, E-Mail (siehe Abschnitt 3)
Eigene App-Inhalte: Custom-Routinen, Logs, Einstellungen
Technische Metadaten: Zeitpunkt der Erstellung/Änderung
Nutzungs-/Analyse-Ereignisse inkl. Einstellungs-Schnappschuss, sofern die Nutzungsanalyse aktiv ist (Details in Abschnitt 9)

Was NICHT in Supabase landet:

HealthKit-Daten (werden nicht in Supabase gespeichert; Verarbeitung auf dem Gerät und in Apple Health)
Zahlungsdaten (gehen ausschließlich an Apple)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für Account- und synchronisierte Inhalte; für die Nutzungsanalyse Art. 6 Abs. 1 lit. f DSGVO (siehe Abschnitt 9). Mit Supabase besteht ein Auftragsverarbeitungsvertrag (DPA) nach Art. 28 DSGVO.

5. Abonnement-Verwaltung: Apple

Zahlungen und Abonnements werden ausschließlich über Apple In-App-Purchase (StoreKit) abgewickelt. Wir erhalten keine Kreditkarten- oder Bankdaten; Kauf, Erneuerung und Kündigung verwaltet Apple über deinen App-Store-Account.

Den Abo-Status verarbeiten wir nur insoweit, wie es zur Freischaltung kostenpflichtiger Funktionen nötig ist. Einen Drittanbieter zur Abo-Verwaltung (z. B. RevenueCat) setzen wir nicht ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung kostenpflichtiger Funktionen). Ergänzend gelten Apples Datenschutzbestimmungen.

6. HealthKit-Integration

Welche Daten?

circady kann mit deiner ausdrücklichen Zustimmung über Apples HealthKit-Schnittstelle lesend auf folgende Gesundheitsdaten zugreifen:

Workouts
Schlafdaten
Achtsamkeitssitzungen (Mindful Minutes)
VO2max
Herzfrequenzvariabilität (HRV)
Ruheherzfrequenz (RHR)

Mit deiner Erlaubnis schreibt circady außerdem Routine-Abschlüsse in Apple Health zurück (schreibender Zugriff). Diese Einträge liegen anschließend in Apple Health und können über Apples eigene, von dir gesteuerte iCloud-Synchronisation zwischen deinen Geräten abgeglichen werden.

Verarbeitung

circady verarbeitet die gelesenen HealthKit-Daten auf deinem Gerät, um:

Routinen automatisch als erledigt zu markieren
Deinen Longevity Index zu berechnen
Trends und Verlauf anzuzeigen

Übermittlung

HealthKit-Daten werden nicht an Supabase oder andere Dritte übermittelt. Sie verbleiben auf deinem Gerät bzw. in Apple Health und werden nicht an unsere Server übertragen (Ausnahme: Apples eigene HealthKit-iCloud-Synchronisation, die von dir in den iOS-Einstellungen gesteuert wird — wir haben darauf keinen Zugriff).

Widerruf

Du kannst deine Zustimmung jederzeit widerrufen unter Einstellungen → Datenschutz & Sicherheit → Health → circady.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung in die Verarbeitung von Gesundheitsdaten).

7. iCloud-Sync (optional)

Wenn du iCloud-Sync für die App in den iOS-Einstellungen aktivierst, werden deine lokalen App-Daten zusätzlich über deinen persönlichen iCloud-Account zwischen deinen Apple-Geräten synchronisiert.

Verarbeitung durch Apple Inc. als Auftragsverarbeiter unter den Bedingungen deines iCloud-Accounts.
Wir haben keinen Zugriff auf diese Daten.
HealthKit-Daten werden nicht durch unsere iCloud-Synchronisation übertragen — HealthKit hat einen eigenen, von dir gesteuerten Sync.

8. Crashberichte und Diagnose (Apple)

Wenn du in iOS unter Einstellungen → Datenschutz & Sicherheit → Analyse & Verbesserungen → „Mit App-Entwicklern teilen" zugestimmt hast, übermittelt Apple uns anonymisierte und aggregierte Absturz- und Performance-Berichte.

Diese Daten enthalten keine direkt identifizierbaren personenbezogenen Daten.
Übermittlung erfolgt ausschließlich durch Apple, nicht direkt aus der App.
Du kannst dies jederzeit in den iOS-Einstellungen deaktivieren.

Zweck: Fehlerdiagnose und Stabilitätsverbesserung der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerdiagnose). Da Apple die Daten vor Übermittlung anonymisiert und aggregiert, gilt eine zusätzliche Schutzschicht.

9. Nutzungsanalyse, Werbung, Tracking

Zur Verbesserung von circady erheben wir eine eigene Nutzungsanalyse und speichern sie in unserer eigenen Supabase-Datenbank (Region Frankfurt, siehe Abschnitt 4). Wir setzen keine Analyse-Dienste Dritter ein (kein Firebase, kein Mixpanel, kein PostHog o. Ä.).

Erfasste Ereignisse (u. a.): App-Start, Routine protokolliert, übersprungen, pausiert, fortgesetzt, hinzugefügt und archiviert, Onboarding abgeschlossen, HealthKit verbunden, Protokoll in „Discover" angesehen.

Zu jedem Ereignis speichern wir einen Schnappschuss deiner App-Einstellungen (z. B. Farbschema, ob HealthKit verbunden ist, Protokoll-Umfang). Diese Ereignisdaten sind mit deinem Account verknüpft und damit nicht anonym. Es werden keine HealthKit-Gesundheitswerte als Analyse-Ereignisse übertragen.

Zweck: verstehen, wie die App genutzt wird, um Funktionen und Stabilität zu verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung).

Widerspruch / Opt-out: Die Nutzungsanalyse ist standardmäßig aktiv. Du kannst sie jederzeit in den App-Einstellungen deaktivieren; danach werden keine weiteren Analyse-Ereignisse mehr erhoben.

Werbung & Cross-App-Tracking

Wir setzen keine Werbung ein.
Wir nutzen keine IDFA / kein Cross-App-Tracking und blenden daher keinen App-Tracking-Transparency-Dialog (ATT) ein. Die Nutzungsanalyse bleibt rein first-party (ausschließlich in unserer Supabase) und wird nicht mit Dritten zu Werbezwecken zusammengeführt.
Es findet keine Übermittlung von Daten an Werbenetzwerke oder Datenbroker statt.

10. App-Berechtigungen

circady fragt folgende Berechtigungen ab:

Berechtigung	Zweck
HealthKit (lesend)	Automatisches Abschließen von Routinen, Longevity-Index-Berechnung
HealthKit (schreibend)	Routine-Abschlüsse zurück in die Health-App schreiben
Mitteilungen	Erinnerungen an Routinen
„Mit Apple anmelden"	Account-Login

Jede Berechtigung kannst du in den iOS-Einstellungen jederzeit widerrufen.

11. Webseite

Unsere Webseite https://circady.app wird gehostet bei GitHub Pages (GitHub, Inc., 88 Colin P Kelly Jr Street, San Francisco, CA 94107, USA). Beim Aufruf werden vom Hosting-Anbieter folgende Daten verarbeitet:

IP-Adresse
Datum und Uhrzeit des Zugriffs
aufgerufene Seite
Referrer
User-Agent (Browser, Betriebssystem)

Wir setzen keine Cookies, keine Analyse-Tools und keine Tracker auf der Webseite ein.

Drittlandtransfer: Da GitHub, Inc. in den USA sitzt, werden die genannten Server-Logs in den USA verarbeitet. Grundlage sind die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischer Bereitstellung).

Kontaktformular

Auf unserer Support-Seite bieten wir ein Kontaktformular an. Wenn du es nutzt, verarbeiten wir die von dir eingegebenen Daten:

Name
E-Mail-Adresse
gewähltes Thema und Nachrichtentext

Die Übermittlung erfolgt über den Formular-Dienst Web3Forms, der die Anfrage an unser internes Support-Postfach (Google Gmail) weiterleitet. Dabei können Daten in den USA verarbeitet werden; Grundlage sind die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.

Zweck: Bearbeitung und Beantwortung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir speichern die Anfragen nur so lange, wie es zur Bearbeitung erforderlich ist.

12. Empfänger und Auftragsverarbeiter — Übersicht

Anbieter	Funktion	Sitz / Region	DPA?
Apple Inc.	Sign in with Apple, In-App-Purchase, HealthKit, iCloud, App-Diagnostik	USA / weltweit	Apple Developer Agreement
Supabase, Inc.	Backend (Auth, Datenbank)	EU — Frankfurt am Main (Deutschland); Muttergesellschaft USA, SCCs	Ja
GitHub, Inc. (GitHub Pages)	Webseite-Hosting	USA (SCCs / EU-US Data Privacy Framework)	Ja
Web3Forms	Übermittlung der Kontaktformular-Anfragen (nur Support)	USA (SCCs / EU-US Data Privacy Framework)	Anbieterbedingungen
Google LLC (Gmail)	Empfang der Support-Anfragen (internes Postfach)	USA (SCCs / EU-US Data Privacy Framework)	Anbieterbedingungen

13. Speicherdauer

Lokale App-Daten: so lange, wie du die App installiert hast bzw. die Daten nicht löschst.
Account- und synchronisierte Daten in Supabase: bis du dein Account in der App löschst oder uns per E-Mail um Löschung bittest.
Abonnement-Daten: werden von Apple im Rahmen deines App-Store-Accounts und der steuerlichen Aufbewahrungspflichten verwaltet.
HealthKit-Daten: unverändert in Apples Health-App; werden von circady nicht persistiert.
Webseiten-Logs: entsprechend der Aufbewahrungsfristen des Hosting-Anbieters.

Bei Account-Löschung werden alle in Supabase verknüpften Daten unverzüglich gelöscht.

14. Deine Rechte

Du hast nach DSGVO insbesondere folgende Rechte:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO)
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO), wirksam für die Zukunft

Du kannst dein Konto und alle zugehörigen Daten jederzeit direkt in der App löschen: Einstellungen → Account → Konto löschen. Die Löschung entfernt deinen Account und alle in Supabase gespeicherten Inhalte unverzüglich und vollständig. Alternativ genügt eine Nachricht an circady.support@gmail.com; dieselbe Adresse gilt für alle weiteren Anfragen.

Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, in der Regel in dem EU-Mitgliedstaat deines Wohnsitzes, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Übersicht der deutschen Aufsichtsbehörden: bfdi.bund.de

15. Datensicherheit

Lokale App-Daten werden in der iOS-Sandbox gespeichert und durch geräteseitige Verschlüsselung (Data Protection) geschützt, sofern dein Gerät mit Code/Face ID/Touch ID gesichert ist.
Die Verbindungen zu Supabase und Apple-Diensten erfolgen verschlüsselt über TLS.
Wir wählen Anbieter, die nach branchenüblichen Sicherheitsstandards (u. a. ISO 27001, SOC 2) zertifiziert sind, soweit das auf den jeweiligen Anbieter zutrifft.

16. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich die App, die genutzten Schnittstellen oder die rechtlichen Rahmenbedingungen ändern. Die jeweils aktuelle Fassung findest du immer unter https://circady.app/privacy.html.

17. Kontakt

Bei Fragen oder Anliegen zum Datenschutz:

Markus Kant
E-Mail: circady.support@gmail.com

Last updated: 1 June 2026

This Privacy Policy describes how we handle your personal data when you use the circady app („App") or our associated website.

1. Data Controller

Controller under the EU General Data Protection Regulation (GDPR):

Markus Kant
Postal address: see Imprint

Email: circady.support@gmail.com
Website: https://circady.app

2. Overview

circady stores your content primarily locally on your device. For account, subscription management, and optional content synchronization across devices we use external services (Apple, Supabase). To improve the app we also collect first-party usage analytics that you can switch off at any time, stored in our Supabase database (see Section 9). We run no advertising and no cross-app tracking, and we share no data with ad networks.

In detail:

Area	Location of processing
Routines, logs, settings (local)	your iOS device
HealthKit data	your device and Apple Health (not on our servers)
Account / login	Apple („Sign in with Apple") + Supabase Auth
Synchronized app content	Supabase
Usage analytics (on by default, can be disabled)	Supabase
Subscription / In-App-Purchases	Apple In-App-Purchase (StoreKit)
Device data sync (optional)	iCloud (Apple)
Crash & diagnostics data	Apple (anonymized)

3. Account: Sign in with Apple

For logging into circady we use Sign in with Apple exclusively. During sign-in you can choose whether to share your real email address or an Apple relay address („Hide My Email").

Data we receive and store in Supabase:

Apple stable user identifier
Email address (real or relay)
Optionally a name, one-time at first sign-in

Purpose: Recognizing your account across devices, subscription attribution.

Legal basis: Art. 6(1)(b) GDPR (contract performance — providing the app account).

Apple Privacy Policy: apple.com/legal/privacy

4. Account Backend: Supabase

For account storage and synchronization of your app content (e.g. custom routines, settings) across your devices, we use Supabase.

Provider: Supabase, Inc., 970 Toa Payoh North #07-04, Singapore 318992 (or registered US subsidiary)

Website: supabase.com · Privacy: supabase.com/privacy

Data processing region: European Union — Frankfurt am Main, Germany (AWS, eu-central-1). No transfer to a third country takes place. As the parent company Supabase, Inc. is based outside the EU, EU Standard Contractual Clauses are additionally in place as a supplementary safeguard.

Data processed:

Apple user identifier, email (see section 3)
Your own app content: custom routines, logs, settings
Technical metadata: creation/modification timestamps
Usage/analytics events incl. a settings snapshot, when usage analytics is enabled (details in Section 9)

What does NOT go to Supabase:

HealthKit data (not stored in Supabase; processed on your device and in Apple Health)
Payment data (only goes to Apple)

Legal basis: Art. 6(1)(b) GDPR (contract performance) for account and synchronized content; for usage analytics, Art. 6(1)(f) GDPR (see Section 9). A Data Processing Agreement (DPA) under Art. 28 GDPR is in place with Supabase.

5. Subscription Management: Apple

Payments and subscriptions are processed exclusively via Apple In-App-Purchase (StoreKit). We do not receive credit card or banking data; purchase, renewal, and cancellation are managed by Apple through your App Store account.

We process subscription status only to the extent needed to unlock paid features. We do not use a third-party subscription-management provider (e.g. RevenueCat).

Legal basis: Art. 6(1)(b) GDPR (contract performance — providing paid features). Apple's privacy terms additionally apply.

6. HealthKit Integration

What data?

With your explicit consent, circady can read the following health data via Apple's HealthKit framework:

Workouts
Sleep data
Mindful Minutes
VO2max
Heart Rate Variability (HRV)
Resting Heart Rate (RHR)

With your permission, circady also writes routine completions back into Apple Health (write access). These entries then reside in Apple Health and may be synced across your devices via Apple's own iCloud sync, which you control.

Processing

circady processes the HealthKit data it reads on your device, in order to:

Auto-complete routines
Calculate your Longevity Index
Display trends and history

Transmission

HealthKit data is not transmitted to Supabase or any other third party. It stays on your device or within Apple Health and is not transmitted to our servers (exception: Apple's own HealthKit iCloud sync, controlled by you in iOS Settings — we have no access to it).

Withdrawal of consent

You can withdraw your consent at any time under Settings → Privacy & Security → Health → circady.

Legal basis: Art. 6(1)(a) and Art. 9(2)(a) GDPR (explicit consent for processing of health data).

7. iCloud Sync (optional)

If you enable iCloud sync for the app in iOS Settings, your local app data is additionally synchronized between your Apple devices via your personal iCloud account.

Processing is performed by Apple Inc. as a processor under the terms of your iCloud account.
We have no access to this data.
HealthKit data is not transmitted via our iCloud sync — HealthKit has its own sync controlled by you.

8. Crash Reports and Diagnostics (Apple)

If you have consented in iOS under Settings → Privacy & Security → Analytics & Improvements → „Share with App Developers", Apple provides us with anonymized and aggregated crash and performance reports.

These reports do not contain directly identifiable personal data.
Transmission is performed by Apple, not directly by the app.
You can disable this at any time in iOS Settings.

Purpose: Error diagnosis and stability improvement.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in error diagnosis). Apple's anonymization and aggregation provide an additional protective layer.

9. Usage Analytics, Advertising, Tracking

To improve circady we collect first-party usage analytics and store them in our own Supabase database (Frankfurt region, see Section 4). We use no third-party analytics services (no Firebase, no Mixpanel, no PostHog, etc.).

Events collected (among others): app open, routine logged, skipped, paused, resumed, added and archived, onboarding completed, HealthKit connected, protocol viewed in "Discover".

With each event we store a snapshot of your app settings (e.g. color preset, whether HealthKit is connected, protocol size). These event data are linked to your account and are therefore not anonymous. No HealthKit health values are sent as analytics events.

Purpose: to understand how the app is used in order to improve features and stability. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in product improvement).

Objection / opt-out: Usage analytics is on by default. You can disable it at any time in the app settings; no further analytics events are collected after that.

Advertising & cross-app tracking

We use no advertising.
We use no IDFA / no cross-app tracking and therefore do not show an App Tracking Transparency (ATT) prompt. The usage analytics stays purely first-party (only in our Supabase) and is not combined with third parties for advertising.
There is no data transmission to ad networks or data brokers.

10. App Permissions

circady requests the following permissions:

Permission	Purpose
HealthKit (read)	Auto-completion of routines, Longevity Index calculation
HealthKit (write)	Write routine completions back to the Health app
Notifications	Routine reminders
Sign in with Apple	Account login

You can withdraw any permission at any time in iOS Settings.

11. Website

Our website https://circady.app is hosted by GitHub Pages (GitHub, Inc., 88 Colin P Kelly Jr Street, San Francisco, CA 94107, USA). On access, the hosting provider processes:

IP address
Date and time of access
Requested page
Referrer
User agent (browser, operating system)

We use no cookies, no analytics tools, and no trackers on the website.

Third-country transfer: As GitHub, Inc. is based in the USA, the server logs above are processed in the USA. This is based on the EU Standard Contractual Clauses and/or the EU-US Data Privacy Framework.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in technical provision).

Contact form

Our support page offers a contact form. When you use it, we process the data you enter:

Name
Email address
Selected topic and message text

Submission is handled by the form service Web3Forms, which forwards your request to our internal support inbox (Google Gmail). Data may be processed in the USA; this is based on the EU Standard Contractual Clauses and/or the EU-US Data Privacy Framework.

Purpose: Handling and responding to your request. Legal basis: Art. 6(1)(b) GDPR (pre-contractual or contractual communication) and Art. 6(1)(f) GDPR (legitimate interest in responding to inquiries). We retain requests only as long as needed to handle them.

12. Recipients and Processors — Overview

Provider	Function	Location / Region	DPA?
Apple Inc.	Sign in with Apple, In-App-Purchase, HealthKit, iCloud, app diagnostics	USA / worldwide	Apple Developer Agreement
Supabase, Inc.	Backend (auth, database)	EU — Frankfurt am Main (Germany); parent company USA, SCCs	Yes
GitHub, Inc. (GitHub Pages)	Website hosting	USA (SCCs / EU-US Data Privacy Framework)	Yes
Web3Forms	Delivery of contact-form requests (support only)	USA (SCCs / EU-US Data Privacy Framework)	Provider terms
Google LLC (Gmail)	Receipt of support requests (internal inbox)	USA (SCCs / EU-US Data Privacy Framework)	Provider terms

13. Retention

Local app data: for as long as the app is installed, or until you delete the data yourself.
Account and synchronized data in Supabase: until you delete your account in the app or request deletion by email.
Subscription data: managed by Apple within your App Store account and applicable tax retention obligations.
HealthKit data: unchanged in Apple's Health app; not persisted by circady.
Website logs: per the hosting provider's retention policy.

Upon account deletion, all linked data in Supabase is deleted without delay.

14. Your Rights

Under the GDPR you have, in particular, the following rights:

Access (Art. 15 GDPR)
Rectification (Art. 16 GDPR)
Erasure (Art. 17 GDPR)
Restriction of processing (Art. 18 GDPR)
Data portability (Art. 20 GDPR)
Objection (Art. 21 GDPR)
Withdrawal of consent (Art. 7(3) GDPR), effective for the future

You can delete your account and all associated data directly in the app: Settings → Account → Delete Account. Deletion removes your account and all content stored in Supabase promptly and completely. Alternatively, send a message to circady.support@gmail.com; the same address applies to all other requests.

Right to lodge a complaint

You have the right to lodge a complaint with a data protection supervisory authority, usually in the EU Member State of your residence, place of work, or the place of the alleged infringement.

For California residents (CCPA): you have additional rights, including the right to know, delete, and opt out of the sale of personal information. circady does not sell personal information.

15. Data Security

Local app data is stored in the iOS sandbox and protected by device-level encryption (Data Protection), provided your device is secured with a passcode/Face ID/Touch ID.
Connections to Supabase and Apple services are encrypted via TLS.
We select providers certified to industry-standard security frameworks (such as ISO 27001, SOC 2) where applicable to the respective provider.

16. Changes to This Privacy Policy

We may update this Privacy Policy if the app, its integrations, or applicable law change. The current version is always available at https://circady.app/privacy.html.

17. Contact

For any questions or concerns about privacy:

Markus Kant
Email: circady.support@gmail.com