Die kurze Fassung: LoveClock behält eure Beziehung für euch. Allein genutzt bleibt alles, was du eingibst, auf deinem Gerät, und nichts wird irgendwohin geschickt. Koppelst du dich mit deinem Partner, werden die geteilten Daten schon auf deinem Handy Ende-zu-Ende verschlüsselt, und unser Server speichert immer nur verschlüsselte Daten, die er nicht lesen kann. Es gibt kein Konto, keine Analyse, keine Werbung, kein Tracking und keinen Zugriff auf den Standort.
LoveClock allein nutzen (die Voreinstellung)
LoveClock funktioniert vollständig ohne Koppeln. Euer Beziehungsbeginn, ein optionales Hochzeitsdatum, Meilensteine, Wiedersehens-Countdowns, Pläne, die Momente in Unsere Geschichte und deine Theme-Einstellungen liegen lokal auf deinem iPhone oder iPad, im Gerätespeicher von Apple. Allein genutzt nimmt die App keinen Kontakt zu unserem Server auf, und nichts, was du eingibst, verlässt dein Gerät.
Mit deinem Partner koppeln (optional)
Du kannst dich optional mit einem Partner koppeln, per Kurzcode oder Einladungslink. Das Koppeln ist so gebaut, dass wir nicht lesen können, was ihr teilt:
- Der Pairing-Code verlässt eure Handys nie. Die einzige Ausnahme ist das optionale iCloud-Backup, das ihn auch in deinem persönlichen iCloud-Schlüsselbund ablegt, und Apple verschlüsselt den Ende-zu-Ende, sodass auch wir ihn nicht lesen können. Der Schlüssel wird auf euren Geräten aus dem Code abgeleitet, und unser Server sieht immer nur einen Einweg-Fingerabdruck des Codes, der als Adresse des Raums dient.
- Alles, was ihr synchronisiert (Daten, Meilensteine, Wiedersehen, Pläne), wird vor dem Hochladen auf deinem Gerät verschlüsselt. Der Server speichert nur diesen Chiffretext und hat keine Möglichkeit, ihn zu entschlüsseln.
- Es gibt keine Konten. Deine Geräte weisen sich mit einem zufälligen Geheimnis pro Gerät aus; wir fragen nie nach Namen, E-Mail-Adresse oder Telefonnummer.
Was unser Server speichert, wenn ihr gekoppelt seid
Wenn (und nur wenn) ihr euch koppelt, hält unser Server diese Arten von Daten:
- Ein Raum-Eintrag: die gehashte Raumadresse, gehashte Gerätezugangsdaten und ein Versionszähler. Kein lesbarer Inhalt.
- Eure verschlüsselten Einträge: die oben beschriebenen Ende-zu-Ende verschlüsselten Daten, aufbewahrt bis zu 400 Tage nach der letzten Änderung. Ein Raum, der angelegt, aber nie betreten wird, wird nach 15 Minuten gelöscht.
- Ein Push-Token: das Apple-Push-Token deines Geräts, nur genutzt, um Sync-Updates und Anstupser zuzustellen, aufbewahrt bis zu 90 Tage. Es ist der einzige Teil der Serverdaten, der nicht verschlüsselt ist, weil Apple ihn lesbar braucht, um Mitteilungen zuzustellen.
- Verschlüsselte Schnappschüsse (unterwegs): Ein Schnappschuss, den du sendest, wird vor dem Hochladen auf deinem Gerät mit einem frischen Einmalschlüssel verschlüsselt, und der Schlüssel selbst reist nur innerhalb eurer Ende-zu-Ende verschlüsselten Einträge, sodass das Foto auf unserem Server für uns unlesbar ist. Die Daten werden innerhalb von etwa einem Tag automatisch gelöscht, und der Einmalschlüssel wird auf euren Geräten zerstört, sobald der Schnappschuss verblasst, womit übrig gebliebener Chiffretext dauerhaft bedeutungslos wird. Beide Hälften zählen: kurze unlesbare Speicherung bei uns, gelöschter Schlüssel bei euch.
- Verschlüsselte Sprachnachrichten (unterwegs): Eine Sprachnachricht funktioniert genau wie ein Schnappschuss: auf deinem Gerät mit einem eigenen Einmalschlüssel verschlüsselt, unterwegs für uns unlesbar, bei uns innerhalb von etwa einem Tag gelöscht und dauerhaft bedeutungslos, sobald der Schlüssel bei euch verschwindet. Die Audiodaten werden nur im Arbeitsspeicher deines Handys entschlüsselt und nie in dessen Speicher geschrieben, außer du behältst sie bewusst.
Beim Entkoppeln verschwindet dein Gerät aus dem Raum, und die Aufbewahrungsfristen oben lassen den Rest von selbst auslaufen.
Mitteilungen und Anstupser
Erinnerungen an Jahrestage und Meilensteine plant iOS lokal auf deinem Gerät, ohne Server. Seid ihr gekoppelt, kommen Sync-Updates als stille Pushes, und der Anstupser eines Partners zeigt eine feste, allgemein gehaltene Mitteilung. Die optionale Notiz an einem Anstupser ist wie alles andere Ende-zu-Ende verschlüsselt und wird auf dem Bildschirm deines Partners nur kurz angezeigt, statt gespeichert zu werden. Ein Schnappschuss verhält sich genauso: Er ist etwa 20 Minuten lang sichtbar, nachdem dein Partner ihn geöffnet hat, und wird danach gelöscht, außer er entscheidet sich bewusst dafür, ihn zu behalten. Behält er einen Schnappschuss von dir, erfährst du es, und ein behaltener Schnappschuss bleibt auf seinem Handy und kann von dort auch anderswo gespeichert werden. Die einzige Ausnahme ist ein Schnappschuss, der beim Melden an uns behalten wird: Dieses Speichern passiert still, damit eine Meldung sich nie bei der gemeldeten Person ankündigt. Wir können Schnappschüsse nicht sehen, und wir können ein Handy nicht daran hindern, ein Bildschirmfoto zu machen; das Verblassen ist ein Versprechen zwischen euch beiden, keine technische Unmöglichkeit.
Für eine Sprachnachricht gelten dieselben Regeln, mit einem Unterschied, den man klar sagen sollte: Ihre zwanzig Minuten beginnen, wenn dein Partner sie abspielt, nicht wenn sie erscheint. Eine Sprachnachricht auf dem Bildschirm sagt ihm nichts, deshalb wäre es unfair, die Uhr zu starten, bevor er die Chance zum Hören hatte. Eine Sprachnachricht, die nie abgespielt wird, wird einen Tag nach dem Senden automatisch gelöscht. Sprachnachrichten spielen nie von selbst ab, weder aus einer Mitteilung noch beim Ankommen, und wir können sie so wenig hören, wie wir einen Schnappschuss sehen können.
Was nie synchronisiert wird
Geteilt wird gezielt: Wiedersehen und Pläne, die du privat hältst, bleiben auch gekoppelt auf deinem Handy. Deine Theme- und Animationseinstellungen, dein angeheftetes Widget und deine Kaufbelege verlassen dein Gerät nie. Seid ihr gekoppelt, teilt ein einzelnes verschlüsseltes Ja oder Nein deinen Premium-Status mit deinem Partner, damit ein Abo für euch beide gelten kann; mehr verrät es nicht.
Wenn du deine Geräte verlierst
Weil wir euren Pairing-Code und euren Schlüssel nie haben, können wir Daten auf dem Server nicht wiederherstellen. Hast du das optionale iCloud-Backup eingeschaltet, kann ein neues oder neu installiertes Gerät, das in deinem iCloud-Konto angemeldet ist, anbieten, euer Paar aus deinem persönlichen iCloud-Schlüsselbund wiederherzustellen, ein Weg, der ausschließlich zwischen deinen Geräten und Apple läuft. Ohne dieses Backup heißt der Verlust beider Handys, dass die verschlüsselten Daten ungelesen auslaufen. Das ist ein bewusster Tausch: Genau diese Eigenschaft sorgt dafür, dass wir eure Beziehung nicht lesen können.
Dasselbe gilt für die Fotos, Sprachnachrichten und Notizen, die du behältst: Sie liegen auf deinem Handy und erreichen unsere Server überhaupt nie. Du kannst optional das iCloud-Backup einschalten, einen einzigen Schalter für euer Paar und eure Inhalte, der eure Daten, Momente, Pläne und behaltenen Andenken in deine eigene iCloud Drive kopiert. Jede Datei wird zuerst auf deinem Gerät verschlüsselt, mit einem Schlüssel, der nur in deinem iCloud-Schlüsselbund liegt, sodass das Backup für uns und für Apple unlesbar ist. Inhalte, die dein Partner geschickt hat und die du nicht behalten hast, werden nie gesichert. Sie bleiben so vergänglich, wie sie gedacht waren. Schaltest du das Backup aus, wird es gelöscht.
Dienstleister
Der Sync-Server läuft auf Cloudflare (Workers, KV und Durable Objects), das den oben beschriebenen Chiffretext und die Push-Tokens in unserem Auftrag speichert. Mitteilungen werden über den Apple Push Notification service zugestellt. Keiner von beiden bekommt von uns lesbare Beziehungsdaten.
Kein Konto nötig
Du kannst jede Funktion nutzen, auch das Koppeln, ohne ein Konto anzulegen, dich anzumelden oder uns eine E-Mail-Adresse zu geben. Es gibt keine Anmeldeschranke.
Keine Analyse, keine Werbung, kein Tracking durch Dritte
LoveClock enthält keine Werbung, keine Analyse- oder Telemetrie-SDKs und keine Tracking-Frameworks von Dritten. Wir bauen kein Profil von dir auf, und wir geben keine Daten an Werbetreibende oder Datenhändler weiter.
Kein Standort-Tracking
LoveClock fragt deinen Standort nie ab und nutzt ihn nie. Wiedersehens-Countdowns berücksichtigen Zeitzonen, aber das wird auf deinem Gerät aus den Daten und Zonen berechnet, die du wählst. Wir verfolgen nicht, wo du bist und wo dein Partner ist.
Kinder
LoveClock richtet sich an ein allgemeines Publikum und erhebt wissentlich von niemandem personenbezogene Daten, auch nicht von Kindern.
Änderungen an dieser Erklärung
Ändert sich diese Erklärung, aktualisieren wir diese Seite und passen das Datum oben an. Nutzt du die App nach einer Aktualisierung weiter, akzeptierst du die geänderte Fassung.
Kontakt
Fragen zu deiner Privatsphäre? Schreib an pawels.apps@gmail.com.