Privacy Policy

Data Controller

Mareika Arnold
Dorfhaldenstrasse 5
6052 Hergiswil NW
Switzerland
Email: info@shapectrl.app

There is no statutory obligation to appoint a Data Protection Officer (Art. 37 GDPR, Art. 10 Swiss FADP). All data protection requests should be sent directly to the email address above.

1. Data Collected and Purpose

1.1 Waitlist Signup

When you sign up to our waitlist, we collect the following data:

  • Email address (to tell you once when the public beta opens)
  • Signup timestamp
  • Anonymised IP hash (SHA-256 with salt, server-side, non-reversible) for spam and abuse prevention
  • User agent (browser and device type, for technical error analysis)
  • Signup source (which form element was used)

Legal bases:

  • Email address and signup timestamp: your consent, Art. 6(1)(a) GDPR and Art. 6 Swiss FADP. Purpose: notification when the public beta opens. You can withdraw your consent at any time by email to info@shapectrl.app or via the link in every email we send you.
  • IP hash, user agent, source: Art. 6(1)(f) GDPR (legitimate interest in spam protection, abuse prevention and technical error analysis). Balancing test: processing is anonymised or minimal, the interference is negligible, the interest in platform security prevails.

1.2 Server Log Files

Every page request generates technical connection data in server logs, which are mandatory for operation:

  • IP address (truncated or anonymised)
  • Date and time of access
  • Referrer URL
  • User agent (browser, device, operating system)
  • HTTP status code, transferred data volume

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in stability, security and error analysis). Retention: up to 30 days, then automatic deletion. Processor: Vercel Inc. (see processors below).

1.3 Product Analytics (PostHog, consent-based)

With your explicit consent via the cookie banner, we use PostHog for anonymous, cookieless product analytics (aggregate page views, source, conversion events). PostHog runs on PostHog Cloud EU with data processing in the European Union. No cookies and no persistent identifiers are set; analytics state is kept in memory for the current page session only. We do not create personal profiles and we do not record sessions (no session replay).

Legal basis: Art. 6(1)(a) GDPR (consent). Analytics is off by default and only runs after you accept. You can withdraw your consent at any time with effect for the future, see "Cookies and Storage Technologies" below.

1.4 Coaching Messages (AI provider)

Messages you write to the coach in the ShapeCtrl app are processed by an external AI provider, which may be located outside Switzerland. This does not concern this landing page. The provider and the details are named in the app's privacy information before you use the feature.

2. Cookies and Storage Technologies

We use exclusively the following storage technologies on your device:

  • localStorage entry shapectrl_consent_v1 — stores your cookie decision (accepted/declined) so the banner does not appear on every visit. Strictly necessary under §25(2)(2) TDDDG (DE) and Art. 45c FMG (CH). Retention: until you manually clear your browser storage.
  • localStorage entry shapectrl_lang — stores your language choice (EN/DE) so the page remembers it. Functional, strictly necessary. Retention: until you clear your browser storage.
  • No analytics cookies. PostHog product analytics runs cookieless (in-memory only) and does not set cookies or persistent identifiers on your device.

Change cookie settings at any time: via the "Cookie settings" link in the footer you can reopen the banner and withdraw or update your decision at any time.

Fonts: the fonts on this site are served from our own server. No connection to Google or other font providers is made.

3. Processors

We use the following external service providers, with whom Article 28 GDPR processing agreements are in place:

  • Supabase Inc. (US company, hosting in Zurich) — storage of waitlist data. Region: eu-central-2 (Zurich). Safeguards for access from the USA: EU-US Data Privacy Framework, Swiss-US Data Privacy Framework, Standard Contractual Clauses.
  • Vercel Inc. (USA, with EU edge routing) — landing page hosting. Vercel Inc. is a US company. Connection logs (anonymised IP, timestamp) may be processed briefly in the USA. Safeguards: EU-US Data Privacy Framework, Swiss-US Data Privacy Framework, Standard Contractual Clauses.
  • Hostpoint AG (Rapperswil-Jona, Switzerland) — email reception for info@shapectrl.app.
  • PostHog (PostHog Cloud EU, European Union) — anonymous, cookieless product analytics, consent-based only. Data processed in the EU. No personal profiles, no session recording.

For transfers to the USA we rely on the EU-US Data Privacy Framework (European Commission adequacy decision of 10 July 2023), on the Swiss-US Data Privacy Framework and on Standard Contractual Clauses (SCCs).

4. Storage Location

Waitlist data is hosted in Switzerland: Supabase, region eu-central-2 (Zurich). The operators Supabase Inc. and Vercel Inc. are US companies (see Section 3). Vercel hosting primarily uses EU edge nodes; logs may be processed briefly in the USA. Email correspondence runs through Hostpoint in Switzerland. With your consent, anonymous product-analytics events are processed by PostHog in the European Union (no cookies, no personal identifiers).

5. Retention

Waitlist data is retained for up to 12 months after we notify you that the public beta has opened, at the latest 24 months after signup, or until you withdraw your consent. Server logs: up to 30 days. Product-analytics events (PostHog) are aggregated and anonymous with no personal profiles; retention follows PostHog Cloud EU defaults.

On request, your data will be deleted promptly and completely.

6. Your Rights

Under GDPR (and under the Swiss FADP for persons residing in Switzerland) you have the following rights:

  • Access to stored data (Art. 15 GDPR)
  • Rectification of inaccurate data (Art. 16 GDPR)
  • Erasure of your data (Art. 17 GDPR)
  • Restriction of processing (Art. 18 GDPR)
  • Data portability (Art. 20 GDPR)
  • Objection to processing (Art. 21 GDPR)
  • Withdrawal of given consent (Art. 7(3) GDPR)

All requests to: info@shapectrl.app

You also have the right to lodge a complaint with a data protection supervisory authority. For Switzerland: Federal Data Protection and Information Commissioner (FDPIC, www.edoeb.admin.ch). For Germany: the state data protection authorities or the Federal Commissioner for Data Protection and Freedom of Information (BfDI, www.bfdi.bund.de).

7. Changes to this Policy

We reserve the right to update this privacy policy at any time. The current version is always available at shapectrl.app/datenschutz.

Last updated: 13 October 2026

In case of any legal interpretation conflict between this English version and the German version, the German-language version prevails as the legally binding text under Swiss law (FADP) and EU law (GDPR). Switch to German via the language picker in the footer.

Datenschutzerklärung

Verantwortliche

Mareika Arnold
Dorfhaldenstrasse 5
6052 Hergiswil NW
Schweiz
E-Mail: info@shapectrl.app

Eine Pflicht zur Bestellung eines Datenschutzbeauftragten besteht nicht (Art. 37 DSGVO, Art. 10 nDSG). Alle datenschutzrechtlichen Anfragen direkt an die oben genannte E-Mail-Adresse.

1. Erhobene Daten und Zweck

1.1 Waitlist-Anmeldung

Wenn du dich auf unserer Warteliste einträgst, erheben wir folgende Daten:

  • E-Mail-Adresse (um dir einmal mitzuteilen, wann die öffentliche Beta öffnet)
  • Anmeldezeitpunkt
  • Anonymisierter IP-Hash (SHA-256 mit Salt, server-seitig, nicht rückverfolgbar) zur Spam- und Missbrauchs-Prävention
  • User-Agent (Browser und Gerätetyp, zur technischen Fehleranalyse)
  • Quelle des Signups (welches Formular-Element genutzt wurde)

Rechtsgrundlagen:

  • E-Mail-Adresse und Anmeldezeitpunkt: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und Art. 6 nDSG. Zweck: Mitteilung, wenn die öffentliche Beta öffnet. Du kannst deine Einwilligung jederzeit per E-Mail an info@shapectrl.app oder über den Link in jeder Mail, die wir dir senden, widerrufen.
  • IP-Hash, User-Agent, Quelle: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Spam-Schutz, Missbrauchsabwehr und technischer Fehleranalyse). Interessenabwägung: die Verarbeitung ist anonymisiert bzw. minimal, der Eingriff geringfügig, das Interesse an Plattform-Sicherheit überwiegt.

1.2 Server-Logfiles

Bei jedem Aufruf der Seite werden technische Verbindungsdaten in Server-Logs verarbeitet, die zwingend für den Betrieb anfallen:

  • IP-Adresse (gekürzt bzw. anonymisiert)
  • Datum und Uhrzeit des Zugriffs
  • Referrer-URL (verweisende Seite)
  • User-Agent (Browser, Gerät, Betriebssystem)
  • HTTP-Statuscode, übertragene Datenmenge

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität, Sicherheit und Fehleranalyse). Speicherdauer: bis zu 30 Tage, dann automatische Löschung. Verarbeiter: Vercel Inc. (siehe Auftragsverarbeiter unten).

1.3 Produkt-Analytics (PostHog, nur bei Einwilligung)

Bei ausdrücklicher Einwilligung über den Cookie-Banner setzen wir PostHog für anonyme, cookielose Produkt-Analytics ein (aggregierte Seitenaufrufe, Herkunft, Conversion-Events). PostHog läuft auf PostHog Cloud EU mit Datenverarbeitung in der Europäischen Union. Es werden keine Cookies und keine dauerhaften Kennungen gesetzt; der Analytics-Status bleibt nur im Speicher der aktuellen Seiten-Session. Wir erstellen keine personenbezogenen Profile und zeichnen keine Sessions auf (kein Session-Replay).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Analytics ist standardmässig aus und läuft erst, nachdem du zustimmst. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, siehe Abschnitt "Cookies und Speichertechnologien" unten.

1.4 Coaching-Nachrichten (KI-Anbieter)

Nachrichten, die du in der ShapeCtrl-App an den Coach schreibst, verarbeitet ein externer KI-Anbieter, der möglicherweise ausserhalb der Schweiz sitzt. Das betrifft nicht diese Landing Page. Anbieter und Einzelheiten nennen wir in den Datenschutzhinweisen der App, bevor du die Funktion nutzt.

2. Cookies und Speichertechnologien

Wir nutzen ausschliesslich folgende Speicher-Technologien auf deinem Endgerät:

  • localStorage-Eintrag shapectrl_consent_v1 — speichert deine Cookie-Entscheidung (akzeptiert/abgelehnt), damit der Banner nicht bei jedem Besuch erscheint. Technisch notwendig nach §25 Abs. 2 Nr. 2 TDDDG (DE) bzw. Art. 45c FMG (CH). Speicherdauer: bis du den Browser-Speicher manuell löschst.
  • localStorage-Eintrag shapectrl_lang — speichert deine Sprachwahl (EN/DE), damit die Seite sie sich merkt. Funktional, technisch notwendig. Speicherdauer: bis du den Browser-Speicher manuell löschst.
  • Keine Analytics-Cookies. PostHog läuft cookielos (nur im Speicher) und setzt keine Cookies oder dauerhaften Kennungen auf deinem Endgerät.

Cookie-Einstellungen jederzeit ändern: über den Link "Cookie-Einstellungen" im Footer kannst du den Banner erneut öffnen und deine Entscheidung jederzeit widerrufen oder neu treffen.

Schriften: die Schriften dieser Seite werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google oder anderen Schriftanbietern.

3. Auftragsverarbeiter

Wir setzen folgende externe Dienstleister ein, mit denen Auftragsverarbeitungs-Verträge nach Art. 28 DSGVO bestehen:

  • Supabase Inc. (US-Gesellschaft, Hosting in Zürich) — Speicherung der Waitlist-Daten. Region: eu-central-2 (Zürich). Garantien bei Zugriff aus den USA: EU-US Data Privacy Framework, Swiss-US Data Privacy Framework, Standardvertragsklauseln.
  • Vercel Inc. (USA, mit EU-Edge-Routing) — Hosting der Landing Page. Vercel Inc. ist eine US-Gesellschaft. Verbindungslogs (anonymisierte IP, Zeitstempel) können kurzfristig in den USA verarbeitet werden. Garantien: EU-US Data Privacy Framework, Swiss-US Data Privacy Framework, Standardvertragsklauseln.
  • Hostpoint AG (Rapperswil-Jona, Schweiz) — E-Mail-Empfang für info@shapectrl.app.
  • PostHog (PostHog Cloud EU, Europäische Union) — anonyme, cookielose Produkt-Analytics, nur bei Einwilligung. Verarbeitung in der EU. Keine personenbezogenen Profile, keine Session-Aufzeichnung.

Für die Übermittlung in die USA berufen wir uns auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.7.2023), auf das Swiss-US Data Privacy Framework sowie auf Standardvertragsklauseln (SCCs).

4. Speicherort

Waitlist-Daten werden in der Schweiz gehostet: Supabase, Region eu-central-2 (Zürich). Die Betreiber Supabase Inc. und Vercel Inc. sind US-Gesellschaften (siehe Abschnitt 3). Vercel-Hosting nutzt primär EU-Edge-Knoten; Logs können kurzfristig in den USA verarbeitet werden. E-Mail-Korrespondenz läuft über Hostpoint in der Schweiz. Bei deiner Einwilligung werden anonyme Produkt-Analytics-Events von PostHog in der Europäischen Union verarbeitet (keine Cookies, keine personenbezogenen Kennungen).

5. Speicherdauer

Waitlist-Daten werden bis zu 12 Monate nach der Benachrichtigung über die Öffnung der öffentlichen Beta gespeichert, spätestens 24 Monate nach dem Eintrag, oder bis zum Widerruf deiner Einwilligung. Server-Logs: bis zu 30 Tage. Produkt-Analytics-Events (PostHog) sind aggregiert und anonym ohne personenbezogene Profile; die Speicherdauer richtet sich nach den Defaults von PostHog Cloud EU.

Auf Anfrage werden deine Daten unverzüglich und vollständig gelöscht.

6. Deine Rechte

Du hast nach DSGVO (sowie nDSG für Personen mit Wohnsitz in der Schweiz) folgende Rechte:

  • Auskunft über gespeicherte Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung deiner Daten (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
  • Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO)

Alle Anfragen bitte an: info@shapectrl.app

Du hast ausserdem das Recht, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen. Für die Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB, www.edoeb.admin.ch). Für Deutschland: die Landesdatenschutzbeauftragten oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI, www.bfdi.bund.de).

7. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen. Die jeweils aktuelle Version ist unter shapectrl.app/datenschutz abrufbar.

Stand: 13. Oktober 2026