Your family’s data stays your family’s.

Privacy information · Updated 7 November 2026

Operator: Remo Liechti, Landhausweg 3, 5742 Kölliken, Switzerland. For service and privacy requests, use the contact form.

Apple purchase records

When Apple purchases are enabled, Apple processes iOS payments and money refunds. We send a random account-and-household purchase token to Apple, not children's names or chore content. We receive and retain verified transaction identifiers, product, date, environment, price/currency where provided and refund status, linked to the purchasing account and household. These records prevent duplicate grants and reconcile credits and refunds across devices. We do not send consumption history to Apple in response to refund-consumption requests without a separate consent flow. Payment records may remain after account or household deletion for reconciliation; family content is not retained in them.

What we use and why

Chore Cards is for adult account holders organising family chores. Children do not need accounts. Your chosen sign-in provider (Google, or Apple when enabled) provides an identity reference and available profile information such as a verified email. Apple may provide a private relay email address. We store your household memberships, the children’s names or nicknames you enter, chores, descriptions, images, printer settings and saved PDFs to deliver the service and synchronise your devices. Use nicknames and avoid sensitive information in descriptions.

Invited adults can see and manage the shared household. Owners control invitations, membership and household exports/deletion. Your personal OpenAI API key and device sessions belong to your account. Keys are encrypted at rest, are not returned by the app, and can be decrypted by the server only to perform authorised generation. This is not end-to-end encryption.

Who processes data

Cloudflare: hosting, databases, private file storage, encrypted backups and security. Application storage and backups use Cloudflare; this is not a promise that processing stays in Switzerland.
Google: account authentication. We do not request access to Gmail, contacts or calendars.
Apple: optional account authentication and native iOS services. Apple authorization tokens are encrypted on the server so authorization can be revoked when you delete your account.
OpenAI: custom card titles and descriptions are checked before saving, editing or importing. New or changed custom wording is sent for child-safety checks; an unchanged, previously approved result can be reused. Before image generation, both fields are checked again; the generated image is sent for safety review before it is stored or shown. Exact built-in template wording is pre-approved. When you request an AI image, the description (or title when empty) is also sent with our illustration instructions. Other household records are not automatically included. The app asks for explicit permission before its first custom save/edit or image request in each sign-in session. Cancelling keeps the draft on your device and does not submit that card text. Included template cards remain available without custom sharing. You can withdraw permission for future requests under Account → AI pictures; previously submitted work can finish. Operator-assisted imports require the household owner’s prior permission. Safety checks use our service account; on the website, your own API key is sent only to validate access and authenticate image generation you request. The iOS app does not accept personal API keys.
Stripe: hosted checkout, payment processing and refunds. We receive payment references, status, amount and credit records, not card numbers or bank credentials.
Resend: your verified email receives service/support updates. Messages submitted through the contact form are sent to the operator’s support inbox with your reply address; the app does not retain a copy.
Authorised operators: access needed to operate the service and handle support. Family PDF content is shown in the support console only when you explicitly share it; support messages and photos are available to support.

These providers operate internationally, including in the United States and Europe. Their service terms and data-processing arrangements govern their processing and international transfers. See Cloudflare, Google, Apple, OpenAI API data, Stripe and Resend. Contact us for information about the arrangements applying to your data. We do not sell family data or use it for advertising.

Blocked cards and wording suggestions

If you report a safety rejection, you explicitly share the attempted card title, description and your explanation with support. Current household members and authorised operators can review the report in the app; these reports do not send email or automatically unblock a card. Optional wording suggestions send only the attempted title and description to OpenAI to clarify a benign task and check its meaning and safety, under the same session sharing permission. Your feedback explanation is not sent to OpenAI. Suggestions do not spend household credits or automatically save or generate a picture. Reports remain with the household and are included in its export and deletion.

Cookies and private reporting

The website uses essential sign-in cookies. The iOS app stores its session in device-only Keychain, not JavaScript storage. Native sign-in handoff codes expire after one minute. Shared files are temporarily prepared on the device and removed after sharing or the next app launch; copies you save or send remain under your control. We use local preferences for language, household and printing. The app temporarily caches public app files; private images are held in the active tab and cleared when you sign out or switch households. We do not use advertising cookies, tracking pixels, session recordings or browser fingerprints.

Our private operations console shows aggregate account/household adoption, purchases, refunds, PDF counts and image-generation usage/cost estimates. Account activity records contain only UTC calendar days, retained for the most recent 30 days. Activity includes authenticated requests such as background sync. Image token counts and the applied rate estimate are retained with the generation job for 30 days. No child names, chore descriptions, image content, IP addresses or browsing histories are included in these reports. Small totals are restricted to authorised operators; we do not claim they are irreversibly anonymous.

Optional template popularity is separate and off by default. If enabled by the household owner, only generic template IDs are counted, at most once per household per month. Results are delayed, coarsened and published only after at least 20 households contribute. Personal wording and pictures never become public templates.

How long we keep data

Family content and purchased PDFs remain while the household exists. Leaving a household does not remove its shared data.
Sign-in sessions last up to 30 days; you can revoke devices immediately. Login handshakes expire after 10 minutes and invitation links after 48 hours.
Export downloads expire after one hour. Image-job details and completed PDF corrections are removed after 30 days; original purchased PDFs remain available.
Support cases remain with the household. Support photos expire after 30 days. Minimal notification history is retained for 90 days.
Deleting an account removes its sessions, keys and personal records; transfer or delete owned households first. Household deletion immediately ends access and starts background file removal.
Encrypted backups expire after 30 days. Infrastructure recovery copies follow the provider recovery window. Minimal payment/credit records and deletion markers may remain for reconciliation, disputes and recovery safeguards; family content is removed.

Your choices and requests

You can edit your data, remove your API key, revoke devices, export account/household data in open JSON/CSV/PNG/ZIP formats, and delete accounts or owned households from the app. Shared content stays with the household if only one adult leaves. Use the contact form for access, correction, deletion or other privacy requests. We may need to verify account ownership. You can also contact your competent data-protection authority. Please never send API keys, passwords or card details.

Die Daten deiner Familie bleiben privat.

Datenschutzinformation · Stand 7. November 2026

Apple-Kaufdaten

Wenn Apple-Käufe aktiviert sind, verarbeitet Apple iOS-Zahlungen und Geldrückerstattungen. Apple erhält eine zufällige Kaufreferenz für Konto und Haushalt, keine Kindernamen oder Aufgabeninhalte. Wir speichern geprüfte Transaktionsreferenzen, Produkt, Zeitpunkt, Umgebung, verfügbare Preis-/Währungsangaben und Erstattungsstatus mit der Zuordnung zu Konto und Haushalt. Dies verhindert doppelte Gutschriften und ermöglicht den geräteübergreifenden Abgleich. Verbrauchsverläufe senden wir nicht ohne gesonderte Einwilligung als Antwort auf Apples Verbrauchsanfragen. Zahlungsreferenzen können nach Konto- oder Haushaltslöschung zum Abgleich verbleiben; Familieninhalte sind darin nicht enthalten.

Verantwortlicher: Remo Liechti, Landhausweg 3, 5742 Kölliken, Schweiz. Für Service- und Datenschutzanfragen nutze bitte das Kontaktformular.

Welche Daten wir wofür verwenden

Chore Cards richtet sich an erwachsene Kontoinhaber. Kinder benötigen kein Konto. Dein gewählter Anmeldeanbieter (Google oder, wenn aktiviert, Apple) übermittelt eine Identitätsreferenz und verfügbare Profilangaben wie eine bestätigte E-Mail-Adresse. Apple kann eine private Relay-Adresse bereitstellen. Für Aufgabenverwaltung und Gerätesynchronisation speichern wir Haushaltsmitgliedschaften, eingegebene Kindernamen oder Spitznamen, Aufgaben, Beschreibungen, Bilder, Druckereinstellungen und gespeicherte PDFs. Verwende möglichst Spitznamen und keine sensiblen Angaben in Beschreibungen.

Eingeladene Erwachsene können den gemeinsamen Haushalt sehen und verwalten. Eigentümer kontrollieren Einladungen, Mitgliedschaften sowie Haushaltsexport und -löschung. Dein OpenAI-Schlüssel und deine Gerätesitzungen gehören zu deinem Konto. API-Schlüssel werden verschlüsselt gespeichert und nicht ausgelesen; der Server kann sie für autorisierte Bilderstellung entschlüsseln. Dies ist keine Ende-zu-Ende-Verschlüsselung.

Empfänger und Dienstleister

Cloudflare betreibt Hosting, Datenbanken, private Dateien, verschlüsselte Backups und Sicherheit. Google übernimmt die Anmeldung; wir fordern keinen Zugriff auf Gmail, Kontakte oder Kalender an. Apple übernimmt optional die Anmeldung und native iOS-Dienste. Apple-Autorisierungstokens werden auf dem Server verschlüsselt gespeichert, damit die Autorisierung bei Kontolöschung widerrufen werden kann. OpenAI prüft eigene Kartentitel und Beschreibungen vor dem Speichern, Bearbeiten oder Importieren auf kinderfreundliche Inhalte. Neue oder geänderte eigene Texte werden dafür übermittelt; bei unveränderten, bereits geprüften Texten kann das gespeicherte Prüfergebnis wiederverwendet werden. Vor einer Bilderstellung werden beide Felder erneut geprüft; das erstellte Bild wird vor Speicherung und Anzeige zur Sicherheitsprüfung gesendet. Unveränderte Vorlagentexte sind bereits freigegeben. Bei einer angeforderten Bilderstellung wird auch die Beschreibung (sonst der Titel) mit unseren Bildanweisungen gesendet. Andere Haushaltsdaten werden nicht automatisch mitgesendet. Vor dem ersten eigenen Speichern/Bearbeiten oder einer Bildanfrage jeder Anmeldung fragt die App ausdrücklich nach deiner Erlaubnis. Beim Abbrechen bleibt der Entwurf auf deinem Gerät und der Kartentext wird nicht übermittelt. Enthaltene Vorlagenkarten bleiben ohne eigene Datenweitergabe verfügbar. Unter Konto → KI-Bilder kannst du die Erlaubnis für künftige Anfragen widerrufen; bereits übermittelte Aufträge können noch abgeschlossen werden. Vom Betreiber unterstützte Importe benötigen vorher die Erlaubnis des Haushaltseigentümers. Sicherheitsprüfungen laufen über unser Dienstkonto; auf der Website wird dein eigener API-Schlüssel nur zur Zugriffsprüfung und zur Authentifizierung angeforderter Bilder verwendet. Die iOS-App nimmt keine persönlichen API-Schlüssel an. Stripe verarbeitet Zahlungen und Rückerstattungen; wir speichern Referenzen, Beträge und Guthabenverlauf, keine Karten- oder Bankzugangsdaten. Resend versendet Service- und Supportinformationen an deine bestätigte E-Mail-Adresse. Nachrichten aus dem Kontaktformular werden an das Support-Postfach des Verantwortlichen mit deiner Antwortadresse weitergeleitet; die App speichert keine Kopie.

Autorisierte Betreiber bearbeiten Supportanfragen und betreiben den Dienst. PDF-Familieninhalte erscheinen in der Supportkonsole nur mit deiner ausdrücklichen Freigabe. Supportnachrichten und hochgeladene Fotos sind für den Support sichtbar. Die oben verlinkten Anbieter verarbeiten Daten international, auch in den USA und Europa. Ihre Vertrags- und Datenschutzregelungen gelten für diese Verarbeitung und internationale Übermittlungen. Cloudflare-Speicherung bedeutet keine Zusicherung ausschliesslicher Verarbeitung in der Schweiz. Auskünfte zu den geltenden Vereinbarungen erhältst du bei uns. Wir verkaufen keine Familiendaten und verwenden sie nicht für Werbung.

Blockierte Karten und Formulierungsvorschläge

Wenn du eine Sicherheitsblockierung meldest, teilst du den versuchten Kartentitel, die Beschreibung und deine Begründung ausdrücklich mit dem Support. Aktuelle Haushaltsmitglieder und autorisierte Betreiber können die Meldung in der App prüfen. Diese Meldungen versenden keine E-Mails und geben Karten nicht automatisch frei. Optionale Formulierungsvorschläge senden nur den versuchten Titel und die Beschreibung an OpenAI, um eine harmlose Aufgabe verständlicher zu formulieren sowie Bedeutung und Sicherheit zu prüfen. Dafür gilt dieselbe Weitergabe-Erlaubnis der Anmeldung. Deine Begründung wird nicht an OpenAI gesendet. Vorschläge verbrauchen kein Haushaltsguthaben und speichern keine Karte oder starten ein Bild automatisch. Meldungen bleiben beim Haushalt und sind in dessen Export und Löschung enthalten.

Cookies und interne Berichte

Die Website verwendet notwendige Anmelde-Cookies. Die iOS-App speichert ihre Sitzung gerätegebunden im Schlüsselbund, nicht im JavaScript-Speicher. Native Anmelde-Übergabecodes verfallen nach einer Minute. Geteilte Dateien werden vorübergehend auf dem Gerät vorbereitet und nach dem Teilen oder beim nächsten App-Start entfernt; von dir gespeicherte oder versendete Kopien bleiben unter deiner Kontrolle. Wir verwenden lokale Sprach-, Haushalts- und Druckeinstellungen. Öffentliche App-Dateien werden zwischengespeichert; private Bilder bleiben vorübergehend im aktiven Tab und werden bei Abmeldung oder Haushaltswechsel freigegeben. Es gibt keine Werbe-Cookies, Tracking-Pixel, Sitzungsaufzeichnungen oder Browser-Fingerprints.

Die geschützte Betriebskonsole zeigt zusammengefasste Konto- und Haushaltsnutzung, Käufe, Rückerstattungen, PDF-Anzahlen und Bildkosten. Kontoaktivität enthält nur UTC-Kalendertage der letzten 30 Tage; auch authentifizierte Hintergrundsynchronisation zählt als Aktivität. Tokenanzahlen und Kostenschätzungen verbleiben 30 Tage beim Bildauftrag. Berichte enthalten keine Kindernamen, Aufgabentexte, Bilder, IP-Adressen oder Browserverläufe. Kleine Summen bleiben auf autorisierte Betreiber beschränkt und gelten nicht als unwiderruflich anonym.

Optionale Vorlagenstatistik ist separat und standardmässig aus. Bei Zustimmung zählt nur die allgemeine Vorlagen-ID höchstens einmal pro Haushalt und Monat. Ergebnisse werden verzögert, vergröbert und erst ab 20 teilnehmenden Haushalten veröffentlicht. Private Beschreibungen und Bilder werden nie öffentliche Vorlagen.

Aufbewahrung und Löschung

Familieninhalte, Supportfälle und gekaufte Original-PDFs bleiben bis zur Haushaltslöschung. Wer einen Haushalt verlässt, löscht dessen gemeinsame Inhalte nicht. Sitzungen laufen nach höchstens 30 Tagen ab und können sofort widerrufen werden. Anmeldevorgänge verfallen nach 10 Minuten, Einladungen nach 48 Stunden, Exportdownloads nach einer Stunde. Bildauftragsdetails, korrigierte PDF-Versionen und Supportfotos werden nach 30 Tagen entfernt; minimierte Benachrichtigungsdaten bleiben 90 Tage. Verschlüsselte Backups verfallen nach 30 Tagen; weitere Wiederherstellungskopien folgen den Anbieterfristen.

Kontolöschung entfernt Sitzungen, Schlüssel und persönliche Datensätze. Eigene Haushalte müssen zuvor übertragen oder gelöscht werden. Haushaltslöschung beendet den Zugriff sofort und startet die Dateibereinigung. Minimale Zahlungs- und Guthabenreferenzen sowie Löschmarkierungen können für Abgleich, Streitfälle und Wiederherstellungsschutz verbleiben; Familieninhalte werden entfernt.

Deine Rechte und Möglichkeiten

In der App kannst du Daten bearbeiten, Schlüssel entfernen, Geräte abmelden, Konto- und Haushaltsdaten in offenen JSON/CSV/PNG/ZIP-Formaten exportieren und Konten oder eigene Haushalte löschen. Für Auskunft, Berichtigung, Löschung oder andere Datenschutzanfragen nutze das Kontaktformular. Wir können einen Nachweis der Kontoinhaberschaft benötigen. Du kannst dich auch an deine zuständige Datenschutzbehörde wenden. Sende niemals API-Schlüssel, Passwörter oder Kartendaten.