Stand: 25. September 2026
Kurz vorweg: PurFact setzt keine Werbe- oder Analyse-Cookies, bindet keine Tracker ein und gibt keine Daten zu Werbezwecken weiter. Es gibt keine Reichweitenmessung. Verarbeitet wird, was nötig ist, damit ein Konto, der Lernfortschritt und die Duelle funktionieren.
Verantwortlich für die Datenverarbeitung auf dieser Website und in der App im Sinne von Art. 4 Nr. 7 DSGVO ist:
Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen.
Beim Aufruf von purfact.app werden durch den Hoster automatisch Daten in Server-Protokolldateien gespeichert, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Datei, übertragene Datenmenge, Meldung über den Abruf, Browsertyp und Betriebssystem. Die IP-Adresse wird dabei vom Hoster gekürzt gespeichert (die letzten Stellen werden entfernt), sodass sie sich keiner Person mehr zuordnen lässt.
Zweck und Rechtsgrundlage: technisch fehlerfreie Auslieferung, Sicherheit der Systeme, Missbrauchserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren Betrieb des Angebots.
Auftragsverarbeiter: Mittwald CM Service GmbH & Co. KG, Königsberger Str. 4–6, 32339 Espelkamp, Deutschland. Die Server stehen in Deutschland. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
PurFact gibt es auch als Erweiterung für Chrome und Firefox. Sie ersetzt die Seite „Neuer Tab" durch die App. Für Erweiterung und Website gilt diese Erklärung gleichermaßen; die Erweiterung verarbeitet keine weiteren Daten – insbesondere liest sie weder deinen Browserverlauf noch Inhalte anderer Websites. Sie fordert diese Berechtigungen an: Speicher (Lernstand und Einstellungen auf deinem Gerät, siehe Abschnitt 9), Standort (nur für das optionale Wetter, Abschnitt 8a) und Identität (öffnet das Google-Anmeldefenster, Abschnitt 3; es werden keine Browser-Kontodaten gelesen). Verbindungen baut die Erweiterung ausschließlich zu den in dieser Erklärung genannten Diensten auf.
Für Lernfortschritt, Bestenliste und Duelle brauchst du ein Konto. Dabei werden verarbeitet: E-Mail-Adresse, ein Passwort (nur als kryptografischer Hashwert gespeichert, nie im Klartext), Zeitpunkt der Registrierung und der letzten Anmeldung sowie – während der Testphase – der verwendete Einladungscode. Am Konto werden außerdem dein Anzeigename und die gewählte Sprache gespeichert, damit Bestätigungs- und Passwort-Mails in deiner Sprache ankommen. Diese Mails versendet der Anmeldedienst über den Mailserver meines Hosters (Mittwald, siehe Abschnitt 2; der Vertrag zur Auftragsverarbeitung umfasst das E-Mail-Hosting).
Anmeldung mit Google: Alternativ kannst du dich mit einem Google-Konto anmelden. Dabei leitet dich Supabase zu Google weiter; Google übermittelt nach deiner Zustimmung E-Mail-Adresse, Anzeigename und – falls vorhanden – die URL deines Google-Profilbilds an den Anmeldedienst. Ein Passwort wird in diesem Fall nicht gespeichert. Hat dein Konto bereits dieselbe E-Mail-Adresse, wird die Google-Anmeldung mit diesem Konto verknüpft; es entsteht kein zweites Konto. Die Verknüpfung kannst du in den Einstellungen jederzeit aufheben. Verantwortlich für die Verarbeitung bei Google ist Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Datenschutzerklärung von Google).
Anmeldung mit Apple: Ebenso kannst du dich mit deiner Apple-ID anmelden („Sign in with Apple"). Supabase leitet dich zu Apple weiter; Apple übermittelt nach deiner Zustimmung deine E-Mail-Adresse – oder, wenn du „E-Mail verbergen" wählst, eine von Apple erzeugte Weiterleitungsadresse (@privaterelay.appleid.com), über die Apple unsere Nachrichten an dich zustellt, ohne uns deine echte Adresse zu nennen. Ein Passwort und dein Name werden in diesem Fall nicht gespeichert. Mit einer verborgenen Adresse entsteht ein eigenes Konto; ein bestehendes Konto verknüpfst du angemeldet in den Einstellungen – die Verknüpfung kannst du dort jederzeit aufheben. Verantwortlich für die Verarbeitung bei Apple ist Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irland (Datenschutzrichtlinie von Apple).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).
Auftragsverarbeiter: Supabase, Inc., 970 Toa Payoh North, Singapur bzw. San Francisco, USA. Die Datenbank, die Kontenverwaltung und der Dateispeicher dieses Projekts laufen in der Region Frankfurt am Main (eu-central-1); die Daten werden also innerhalb der Europäischen Union gespeichert und verarbeitet. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen von Supabase und schließt die EU-Standardvertragsklauseln ein. Sie greifen für den Fall, dass im Rahmen von Wartung und Support ausnahmsweise ein Zugriff aus den USA erfolgt.
Kaufst du ein Pro-Abo oder eine Lebenszeit-Lizenz, läuft die Zahlung über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland). Die Eingabe der Zahlungsdaten (Karte, PayPal o. Ä.) erfolgt auf einer Seite von Stripe; ich erhalte diese Daten nicht. Stripe erhält von mir deine E-Mail-Adresse und eine Kennung deines Kontos, um die Zahlung zuzuordnen; ich speichere die von Stripe vergebene Kundennummer, den gewählten Plan und den Abo-Status (aktiv, gekündigt, Laufzeitende). Ein Kauf ist nur mit registriertem Konto möglich, damit die Freischaltung auf allen Geräten gilt. Stripe verarbeitet Daten auch in den USA; Stripe stützt sich dabei auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO für die steuer- und handelsrechtlichen Aufbewahrungspflichten (Abschnitt 11). Weitere Informationen: Datenschutzerklärung von Stripe.
Wenn du ein Profil anlegst, verarbeite ich Anzeigename und – falls du eines hochlädst – ein Profilbild. Beides ist für andere angemeldete Nutzerinnen und Nutzer sichtbar: in der Bestenliste, bei Freundschaftsanfragen und in Duellen. Deine E-Mail-Adresse ist für andere nicht sichtbar.
Profilbilder werden als Datei in einem Speicherbereich bei Supabase abgelegt und über eine öffentlich abrufbare Adresse ausgeliefert. Wer diese Adresse kennt, kann das Bild aufrufen. Lade dort deshalb nichts hoch, was nicht öffentlich sein soll.
Zur Bestenliste gehören außerdem Punktestände, Erfahrungspunkte, Serien („Streak") und der Zeitpunkt des Beitritts.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Betrieb der Funktionen; die Anzeige gegenüber anderen Nutzern beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sozialen Lernangebot). Du kannst Anzeigename und Bild jederzeit ändern oder entfernen.
Damit die Wiederholung zum richtigen Zeitpunkt funktioniert, speichere ich je Karte, wie oft du sie beantwortet hast, wie oft falsch, und wann sie zuletzt dran war. Diese Daten sind deinem Konto zugeordnet.
Zusätzlich fließen Antworten in eine anonyme Gesamtstatistik je Karte ein („wie viele Menschen haben daran gelernt, wie oft wurde sie falsch beantwortet"). Diese Zahlen sind Summen ohne Personenbezug und dienen dazu, zu schlechte oder zu leichte Fragen zu finden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Bei Live- und Zeitversetzt-Duellen werden Anzeigename, Profilbild, die gestellten Fragen, deine Antworten, Punkte und Antwortzeiten verarbeitet und dem jeweiligen Gegenüber angezeigt. Bei Live-Duellen werden diese Angaben zusätzlich in Echtzeit übertragen, solange das Duell läuft.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – ohne diese Übermittlung gibt es kein Duell.
Innerhalb der App gibt es Benachrichtigungen (Duell-Einladung, Freundschaftsanfrage, gebrochener Rekord). Dafür werden Empfänger, Auslöser, Art der Nachricht und der Zeitpunkt gespeichert.
Willigst du zusätzlich in Push-Nachrichten ein, speichere ich die technische Adresse deines Geräte-Abonnements samt Schlüssel sowie deine Einstellung für die Erinnerungszeit und Zeitzone. Die Zustellung läuft über den Push-Dienst deines Browserherstellers (z. B. Apple, Google oder Mozilla), der dabei die Adresse deines Geräts verarbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst sie jederzeit widerrufen, indem du die Benachrichtigungen in der App oder in den Einstellungen deines Browsers abschaltest.
Ein großer Teil der Bilder und Töne wird nicht von meinem Server ausgeliefert, sondern beim Anzeigen einer Karte direkt von der Quelle geladen. Dabei erfährt der jeweilige Anbieter deine IP-Adresse, den angeforderten Dateinamen und technische Angaben deines Browsers. Betroffen sind:
| Dienst | Anbieter | Sitz |
|---|---|---|
| Wikimedia Commons / Wikipedia | Wikimedia Foundation, Inc. | USA |
| xeno-canto (Tierstimmen) | Stichting Xeno-canto voor Natuurgeluiden | Niederlande |
| Flickr (einzelne Bilder) | Flickr, Inc. | USA |
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, mehrere zehntausend frei lizenzierte Medien anbieten zu können, ohne sie zu spiegeln. Für die Übermittlung in die USA stützen sich die genannten Anbieter auf eigene Rechtsgrundlagen; ein dem europäischen Niveau entsprechender Schutz kann dort nicht in jedem Fall garantiert werden. Ich prüfe, die Medien mittelfristig auf eigene Server zu übernehmen.
Auf Wunsch zeigt PurFact neben der Uhr das aktuelle Wetter. Das passiert nur, wenn du es selbst einschaltest. Dafür wird dein Standort bestimmt – entweder über die Ortungsfunktion deines Browsers (nach dessen Nachfrage) oder, wenn diese keine Position liefert, grob anhand deiner IP-Adresse; alternativ kannst du einen Ort von Hand eintragen. Die auf zwei Nachkommastellen gerundeten Koordinaten (etwa 1 km genau) werden an folgende Dienste übermittelt: Open-Meteo (Wetterdaten; Open-Meteo, Schweiz), BigDataCloud (Ortsname bzw. IP-Ortung; BigDataCloud Pty Ltd, Australien) und ersatzweise Nominatim/OpenStreetMap (Ortsname; OpenStreetMap Foundation, UK). Gespeichert wird der Standort nur auf deinem Gerät; er wird nicht mit deinem Konto verknüpft. Abschalten geht jederzeit in den Einstellungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Einschalten der Funktion), jederzeit widerrufbar.
PurFact verwendet keine Cookies. Für die Anmeldung und die Einstellungen nutzt die App den lokalen Speicher deines Browsers (localStorage): darin liegen dein Anmelde-Token, die gewählte Sprache und Anzeigeeinstellungen. In der Browser-Erweiterung liegen zusätzlich dein Lernstand und deine Einstellungen im Erweiterungsspeicher des Browsers. Die App legt dort außerdem täglich eine lokale Sicherungskopie deiner Lerndaten an (rollierend, die letzten sieben Tage), damit sich ein versehentlicher Verlust rückgängig machen lässt; auch sie verlässt dein Gerät nicht. Diese Daten werden gelöscht, wenn du dich abmeldest, die Websitedaten löschst oder die Erweiterung entfernst.
Da nichts davon der Analyse oder Werbung dient, ist keine Einwilligung nach § 25 TDDDG erforderlich; die Speicherung ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Über das Kontaktformular übermittelst du deine Nachricht, deine E-Mail-Adresse und – wenn du magst – deinen Namen. Der Name ist freiwillig; die Adresse brauche ich, um antworten zu können. Die Angaben werden nicht in einer Datenbank gespeichert, sondern direkt als E-Mail an mein Postfach geschickt.
Zum Schutz vor automatisiertem Missbrauch zählt der Server, wie viele Nachrichten in der laufenden Stunde von derselben Internetverbindung kommen. Dafür wird die IP-Adresse nur als Prüfsumme abgelegt, aus der sie sich nicht zurückrechnen lässt; der Zähler verfällt automatisch. Ein CAPTCHA setze ich bewusst nicht ein – das wäre ein weiterer Dienstleister und für manche Menschen eine Hürde.
Dasselbe gilt, wenn du direkt an contact@purfact.app schreibst oder unter der im Impressum genannten Nummer anrufst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen), bei vertragsbezogenen Anfragen Art. 6 Abs. 1 lit. b DSGVO. Anfragen lösche ich, sobald sie abschließend bearbeitet sind und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
Auf der Startseite kannst du dich eintragen, um eine einzige E-Mail zum offiziellen Start von PurFact zu bekommen – kein Newsletter. Dafür speichere ich deine E-Mail-Adresse, die gewählte Sprache und die Zeitpunkte von Anmeldung und Bestätigung in der Datenbank bei Supabase (siehe Abschnitt 3, gleicher Auftragsverarbeiter).
Damit niemand eine fremde Adresse einträgt, bekommst du zuerst eine Bestätigungsmail (Double-Opt-in). Erst nach deinem Klick wird die Adresse vorgemerkt; ohne Bestätigung verfällt der Link nach 7 Tagen und ich schreibe dir nicht. Gegen Missbrauch gilt dieselbe Zählung wie beim Kontaktformular (IP-Adresse nur als Prüfsumme).
Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit widerrufen – über den Abmeldelink in jeder Mail oder formlos an contact@purfact.app; die Adresse wird dann gelöscht. Nach der Start-Mail lösche ich die Liste.
Du kannst dein Konto jederzeit selbst löschen: in der App unter ⚙️ Einstellungen → „Konto & Daten löschen" – sofort und ohne Rückfrage bei mir. Alternativ genügt eine kurze Nachricht von deiner registrierten Adresse an contact@purfact.app genügt. Gelöscht werden dabei Konto, Profil, Profilbild, Lernfortschritt, Duelldaten und Benachrichtigungen. Erhalten bleibt ausschließlich die anonyme Kartenstatistik aus Abschnitt 5, weil sie keinen Bezug zu dir mehr hat.
Du hast jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, eine erteilte Einwilligung zu widerrufen (Art. 7 Abs. 3) – der Widerruf wirkt für die Zukunft.
Widerspruchsrecht (Art. 21 DSGVO): Soweit ich Daten auf Grundlage berechtigter Interessen verarbeite, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.
Außerdem steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu. Zuständig ist:
Ich passe diese Erklärung an, wenn sich die Verarbeitung ändert – etwa sobald eine Bezahlfunktion hinzukommt. Es gilt jeweils die hier abrufbare Fassung; das Datum oben zeigt den Stand.
Impressum · Datenschutz · AGB · Widerruf · Verträge hier kündigen · Kontakt
Last updated: 25 September 2026
In short: PurFact uses no advertising or analytics cookies, embeds no trackers and shares no data for advertising purposes. There is no audience measurement. What is processed is what an account, your learning progress and the duels need in order to work.
The controller for data processing on this website and in the app within the meaning of Art. 4(7) GDPR is:
There is no legal obligation to appoint a data protection officer.
When you open purfact.app, the hosting provider automatically stores data in server log files that your browser transmits: IP address, date and time, file requested, volume of data transferred, status of the request, browser type and operating system. The IP address is truncated by the hosting provider before storage (the last digits are removed), so that it can no longer be attributed to a person.
Purpose and legal basis: technically correct delivery, system security, detection of misuse. The legal basis is Art. 6(1)(f) GDPR; the legitimate interest lies in operating the service securely.
Processor: Mittwald CM Service GmbH & Co. KG, Königsberger Str. 4–6, 32339 Espelkamp, Germany. The servers are located in Germany. A data processing agreement under Art. 28 GDPR is in place.
PurFact is also available as an extension for Chrome and Firefox. It replaces the "New tab" page with the app. This policy applies equally to the extension and the website; the extension processes no additional data – in particular it reads neither your browsing history nor the content of other websites. It requests these permissions: storage (learning progress and settings on your device, see section 9), geolocation (only for the optional weather, section 8a) and identity (opens the Google sign-in window, section 3; no browser account data is read). The extension connects only to the services named in this policy.
Learning progress, the leaderboard and duels require an account. The following is processed: email address, a password (stored only as a cryptographic hash, never in plain text), the time of registration and of the last sign-in, and – during the test phase – the invite code used. Your display name and chosen language are also stored with the account so that confirmation and password emails arrive in your language. These emails are sent by the sign-in service through my hosting provider's mail server (Mittwald, see section 2; the data processing agreement covers email hosting).
Sign in with Google: Alternatively you can sign in with a Google account. Supabase redirects you to Google; after your consent Google transmits your email address, display name and – if present – the URL of your Google profile picture to the sign-in service. No password is stored in this case. If an account with the same email address already exists, the Google sign-in is linked to that account; no second account is created. You can remove the link at any time in the settings. The controller for processing at Google is Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland (Google privacy policy).
Sign in with Apple: You can also sign in with your Apple ID. Supabase redirects you to Apple; after your consent Apple transmits your email address – or, if you choose “Hide My Email”, an Apple- generated relay address (@privaterelay.appleid.com) through which Apple forwards our messages to you without disclosing your real address. No password and no name are stored in this case. With a hidden address a separate account is created; you link an existing account while signed in, under settings – and can remove the link there at any time. The controller for processing at Apple is Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Ireland (Apple privacy policy).
Legal basis: Art. 6(1)(b) GDPR (performance of the user agreement).
Processor: Supabase, Inc., 970 Toa Payoh North, Singapore / San Francisco, USA. This project's database, account management and file storage run in the Frankfurt am Main (eu-central-1) region, so the data is stored and processed within the European Union. The data processing agreement under Art. 28 GDPR forms part of Supabase's terms of service and includes the EU standard contractual clauses. These apply in the event that access from the USA exceptionally occurs during maintenance and support.
If you buy a Pro subscription or a lifetime licence, payment is handled by Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Ireland). Payment details (card, PayPal etc.) are entered on a page hosted by Stripe; I do not receive them. Stripe receives your email address and an identifier of your account from me to match the payment; I store the customer number assigned by Stripe, the chosen plan and the subscription status (active, cancelled, end of term). A purchase requires a registered account so that the unlock applies on all your devices. Stripe also processes data in the USA, relying on the EU standard contractual clauses and the EU-US Data Privacy Framework.
Legal basis: Art. 6(1)(b) GDPR (performance of contract) and Art. 6(1)(c) GDPR for statutory retention duties under tax and commercial law (section 11). More: Stripe privacy policy.
If you create a profile, I process your display name and – if you upload one – a profile picture. Both are visible to other signed-in users: on the leaderboard, in friend requests and in duels. Your email address is not visible to others.
Profile pictures are stored as files in a storage area at Supabase and delivered via a publicly reachable address. Anyone who knows that address can open the image. Please do not upload anything there that should not be public.
The leaderboard also includes scores, experience points, streaks and the date you joined.
Legal basis: Art. 6(1)(b) GDPR for operating the features; display to other users is based on Art. 6(1)(f) GDPR (legitimate interest in a social learning service). You can change or remove your display name and picture at any time.
So that repetition happens at the right moment, I store per card how often you have answered it, how often incorrectly, and when it was last due. This data is linked to your account.
In addition, answers feed into an anonymous aggregate statistic per card ("how many people have studied it, how often was it answered incorrectly"). These are sums without any personal reference and serve to identify questions that are too hard or too easy.
Legal basis: Art. 6(1)(b) GDPR.
In live and asynchronous duels, display name, profile picture, the questions asked, your answers, scores and response times are processed and shown to your opponent. In live duels this information is additionally transmitted in real time while the duel is running.
Legal basis: Art. 6(1)(b) GDPR – without this transmission there is no duel.
The app has in-app notifications (duel invitation, friend request, record beaten). For these, recipient, trigger, type of message and timestamp are stored.
If you additionally consent to push messages, I store the technical address of your device subscription together with its key, as well as your reminder time and time zone. Delivery runs through the push service of your browser vendor (e.g. Apple, Google or Mozilla), which processes your device address in the process.
Legal basis: Art. 6(1)(a) GDPR (consent). You may withdraw it at any time by switching notifications off in the app or in your browser settings.
A large share of the images and sounds is not delivered from my server but loaded directly from the source when a card is shown. The respective provider thereby learns your IP address, the file requested and technical details of your browser. This concerns:
| Service | Provider | Location |
|---|---|---|
| Wikimedia Commons / Wikipedia | Wikimedia Foundation, Inc. | USA |
| xeno-canto (animal sounds) | Stichting Xeno-canto voor Natuurgeluiden | Netherlands |
| Flickr (individual images) | Flickr, Inc. | USA |
Legal basis: Art. 6(1)(f) GDPR. The legitimate interest lies in being able to offer several tens of thousands of freely licensed media without mirroring them. For transfers to the USA, the providers named rely on their own legal bases; a level of protection equivalent to the European one cannot be guaranteed there in every case. I am reviewing whether to move the media onto my own servers in the medium term.
On request PurFact shows the current weather next to the clock. This happens only if you switch it on yourself. To do so your location is determined – either via your browser's location feature (after its own prompt) or, if that yields no position, roughly from your IP address; alternatively you can enter a place manually. The coordinates, rounded to two decimals (about 1 km), are sent to: Open-Meteo (weather data; Open-Meteo, Switzerland), BigDataCloud (place name or IP geolocation; BigDataCloud Pty Ltd, Australia) and as a fallback Nominatim/OpenStreetMap (place name; OpenStreetMap Foundation, UK). The location is stored only on your device and is not linked to your account. You can switch it off at any time in the settings.
Legal basis: Art. 6(1)(a) GDPR (consent by enabling the feature), revocable at any time.
PurFact uses no cookies. For sign-in and settings the app uses your browser's local storage (localStorage): it holds your sign-in token, the chosen language and display settings. In the browser extension your learning progress and settings are additionally kept in the browser's extension storage. The app also creates a daily local backup copy of your learning data there (rolling, last seven days) so an accidental loss can be undone; it does not leave your device either. This data is removed when you sign out, clear the site data or remove the extension.
Since none of it serves analytics or advertising, no consent under Section 25 TDDDG is required; the storage is strictly necessary for the service you expressly requested (Section 25(2)(2) TDDDG).
Through the contact form you transmit your message, your email address and – if you wish – your name. The name is optional; the address is needed so that I can reply. The details are not stored in a database but sent directly to my mailbox as an email.
To protect against automated abuse, the server counts how many messages arrive from the same internet connection within the current hour. For this the IP address is stored only as a checksum from which it cannot be reconstructed; the counter expires automatically. I deliberately do not use a CAPTCHA – that would mean another service provider and, for some people, a barrier.
The same applies if you write directly to contact@purfact.app or call.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in answering enquiries), or Art. 6(1)(b) GDPR for contract-related enquiries. I delete enquiries once they have been dealt with conclusively and no statutory retention periods apply.
On the home page you can sign up to receive a single email when PurFact officially launches – no newsletter. For this I store your email address, the chosen language and the times of sign-up and confirmation in the Supabase database (see section 3, same processor).
So that nobody can enter someone else's address, you first receive a confirmation email (double opt-in). Only after you click it is the address kept; without confirmation the link expires after 7 days and I will not write to you. The same abuse counter as for the contact form applies (IP address only as a checksum).
Legal basis: your consent, Art. 6(1)(a) GDPR. You can withdraw it at any time – via the unsubscribe link in every email or informally at contact@purfact.app; the address is then deleted. After the launch email I delete the list.
You can delete your account yourself at any time: in the app under ⚙️ Settings → "Delete account & data" – immediately and without asking me. Alternatively, a short message from your registered address to contact@purfact.app is enough. This deletes the account, profile, profile picture, learning progress, duel data and notifications. The only thing retained is the anonymous card statistic from section 5, because it no longer relates to you.
You have the right at any time to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), and the right to withdraw consent you have given (Art. 7(3)) – withdrawal takes effect for the future.
Right to object (Art. 21 GDPR): where I process data on the basis of legitimate interests, you may object to that processing on grounds relating to your particular situation.
You also have the right to lodge a complaint with a supervisory authority. The competent authority is:
I will update this policy when the processing changes – for example as soon as a payment function is added. The version available here applies; the date at the top shows its status.
Legal notice · Privacy · Terms · Withdrawal · Cancel contracts here · Contact
Actualizada el 25 de septiembre de 2026
En pocas palabras: PurFact no utiliza cookies publicitarias ni analíticas, no incorpora rastreadores y no cede datos con fines publicitarios. No hay medición de audiencia. Se trata lo necesario para que funcionen la cuenta, el progreso de aprendizaje y los duelos.
El responsable del tratamiento de datos en este sitio web y en la aplicación, en el sentido del art. 4.7 del RGPD, es:
No existe obligación legal de designar un delegado de protección de datos.
Al abrir purfact.app, el proveedor de alojamiento guarda automáticamente en archivos de registro los datos que transmite tu navegador: dirección IP, fecha y hora, archivo solicitado, volumen de datos transferido, estado de la petición, tipo de navegador y sistema operativo. La dirección IP se almacena truncada por el proveedor (se eliminan las últimas cifras), de modo que ya no puede atribuirse a una persona.
Finalidad y base jurídica: entrega técnicamente correcta, seguridad de los sistemas y detección de abusos. La base jurídica es el art. 6.1.f del RGPD; el interés legítimo reside en el funcionamiento seguro del servicio.
Encargado del tratamiento: Mittwald CM Service GmbH & Co. KG, Königsberger Str. 4–6, 32339 Espelkamp, Alemania. Los servidores se encuentran en Alemania. Existe un contrato de encargo del tratamiento conforme al art. 28 del RGPD.
PurFact también existe como extensión para Chrome y Firefox. Sustituye la página «Nueva pestaña» por la aplicación. Esta declaración se aplica por igual a la extensión y al sitio web; la extensión no trata datos adicionales: en particular, no lee tu historial de navegación ni el contenido de otros sitios. Solicita estos permisos: almacenamiento (progreso y ajustes en tu dispositivo, sección 9), ubicación (solo para el tiempo opcional, sección 8a) e identidad (abre la ventana de acceso de Google, sección 3; no se leen datos de cuentas del navegador). La extensión solo se conecta a los servicios nombrados en esta declaración.
El progreso de aprendizaje, la clasificación y los duelos requieren una cuenta. Se tratan: la dirección de correo electrónico, una contraseña (almacenada solo como valor hash criptográfico, nunca en texto claro), el momento del registro y del último acceso y — durante la fase de pruebas — el código de invitación utilizado. En la cuenta se guardan además tu nombre para mostrar y el idioma elegido, para que los correos de confirmación y de contraseña lleguen en tu idioma. Estos correos los envía el servicio de acceso a través del servidor de correo de mi proveedor de alojamiento (Mittwald, véase la sección 2; el contrato de encargo cubre el alojamiento de correo).
Acceso con Google: También puedes iniciar sesión con una cuenta de Google. Supabase te redirige a Google; tras tu consentimiento, Google transmite al servicio de acceso tu dirección de correo electrónico, tu nombre para mostrar y — si existe — la URL de tu imagen de perfil de Google. En este caso no se guarda ninguna contraseña. Si ya existe una cuenta con el mismo correo, el acceso con Google se vincula a esa cuenta; no se crea una segunda. Puedes deshacer la vinculación en cualquier momento desde los ajustes. Responsable del tratamiento en Google: Google Ireland Ltd., Gordon House, Barrow Street, Dublín 4, Irlanda (política de privacidad de Google).
Acceso con Apple: También puedes iniciar sesión con tu ID de Apple. Supabase te redirige a Apple; tras tu consentimiento, Apple transmite tu dirección de correo electrónico o, si eliges «Ocultar mi correo», una dirección de reenvío generada por Apple (@privaterelay.appleid.com), a través de la cual Apple te entrega nuestros mensajes sin revelarnos tu dirección real. En este caso no se guardan ni contraseña ni nombre. Con una dirección oculta se crea una cuenta propia; una cuenta existente la vinculas con la sesión iniciada desde los ajustes, donde también puedes deshacer la vinculación en cualquier momento. Responsable del tratamiento en Apple: Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irlanda (política de privacidad de Apple).
Base jurídica: art. 6.1.b del RGPD (ejecución del contrato de uso).
Encargado del tratamiento: Supabase, Inc., 970 Toa Payoh North, Singapur / San Francisco, EE. UU. La base de datos, la gestión de cuentas y el almacenamiento de archivos de este proyecto funcionan en la región Fráncfort del Meno (eu-central-1); los datos se almacenan y tratan, por tanto, dentro de la Unión Europea. El contrato de encargo del tratamiento conforme al art. 28 del RGPD forma parte de las condiciones de uso de Supabase e incluye las cláusulas contractuales tipo de la UE. Estas se aplican en caso de que, excepcionalmente, se produzca un acceso desde EE. UU. durante tareas de mantenimiento y soporte.
Si compras una suscripción Pro o una licencia vitalicia, el pago lo gestiona Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublín 2, Irlanda). Los datos de pago (tarjeta, PayPal, etc.) se introducen en una página de Stripe; yo no los recibo. Stripe recibe de mí tu dirección de correo y un identificador de tu cuenta para asignar el pago; yo guardo el número de cliente asignado por Stripe, el plan elegido y el estado de la suscripción (activa, cancelada, fin de periodo). La compra requiere una cuenta registrada para que el desbloqueo valga en todos tus dispositivos. Stripe trata datos también en EE. UU., amparándose en las cláusulas contractuales tipo de la UE y en el Marco de Privacidad de Datos UE-EE. UU.
Base jurídica: art. 6.1.b del RGPD (ejecución del contrato) y art. 6.1.c del RGPD para las obligaciones legales de conservación fiscal y mercantil (sección 11). Más información: política de privacidad de Stripe.
Si creas un perfil, trato tu nombre visible y —si subes una— una imagen de perfil. Ambos son visibles para otras personas registradas: en la clasificación, en las solicitudes de amistad y en los duelos. Tu dirección de correo no es visible para los demás.
Las imágenes de perfil se guardan como archivo en un espacio de almacenamiento de Supabase y se entregan a través de una dirección de acceso público. Quien conozca esa dirección puede abrir la imagen. Por eso, no subas ahí nada que no deba ser público.
La clasificación incluye además puntuaciones, puntos de experiencia, rachas y la fecha de alta.
Base jurídica: art. 6.1.b del RGPD para el funcionamiento de las funciones; su visualización frente a otras personas se basa en el art. 6.1.f del RGPD (interés legítimo en un servicio de aprendizaje social). Puedes cambiar o eliminar en cualquier momento tu nombre visible y tu imagen.
Para que la repetición se produzca en el momento adecuado, guardo por cada tarjeta cuántas veces la has respondido, cuántas de forma incorrecta y cuándo tocó por última vez. Estos datos están asociados a tu cuenta.
Además, las respuestas alimentan una estadística agregada anónima por tarjeta («cuántas personas la han estudiado, cuántas veces se ha fallado»). Son sumas sin referencia personal y sirven para detectar preguntas demasiado difíciles o demasiado fáciles.
Base jurídica: art. 6.1.b del RGPD.
En los duelos en directo y en diferido se tratan el nombre visible, la imagen de perfil, las preguntas planteadas, tus respuestas, la puntuación y los tiempos de respuesta, y se muestran a tu rival. En los duelos en directo esos datos se transmiten además en tiempo real mientras dura la partida.
Base jurídica: art. 6.1.b del RGPD; sin esa transmisión no hay duelo.
La aplicación tiene notificaciones internas (invitación a un duelo, solicitud de amistad, récord superado). Para ello se guardan el destinatario, quien la origina, el tipo de mensaje y la fecha y hora.
Si además consientes las notificaciones push, guardo la dirección técnica de la suscripción de tu dispositivo junto con su clave, así como tu hora de recordatorio y tu zona horaria. El envío se realiza a través del servicio push del fabricante de tu navegador (por ejemplo Apple, Google o Mozilla), que trata en ese proceso la dirección de tu dispositivo.
Base jurídica: art. 6.1.a del RGPD (consentimiento). Puedes retirarlo en cualquier momento desactivando las notificaciones en la aplicación o en los ajustes de tu navegador.
Buena parte de las imágenes y los sonidos no se entrega desde mi servidor, sino que se carga directamente desde la fuente al mostrar una tarjeta. El proveedor correspondiente conoce así tu dirección IP, el archivo solicitado y datos técnicos de tu navegador. Afecta a:
| Servicio | Proveedor | Sede |
|---|---|---|
| Wikimedia Commons / Wikipedia | Wikimedia Foundation, Inc. | EE. UU. |
| xeno-canto (sonidos de animales) | Stichting Xeno-canto voor Natuurgeluiden | Países Bajos |
| Flickr (imágenes sueltas) | Flickr, Inc. | EE. UU. |
Base jurídica: art. 6.1.f del RGPD. El interés legítimo consiste en poder ofrecer varias decenas de miles de archivos con licencia libre sin duplicarlos. Para las transferencias a EE. UU., los proveedores citados se apoyan en sus propias bases jurídicas; allí no puede garantizarse en todos los casos un nivel de protección equivalente al europeo. Estoy estudiando trasladar estos archivos a servidores propios a medio plazo.
Si lo deseas, PurFact muestra el tiempo actual junto al reloj. Esto ocurre solo si lo activas tú. Para ello se determina tu ubicación, bien mediante la función de localización de tu navegador (tras su propia consulta) o, si no da una posición, de forma aproximada a partir de tu dirección IP; también puedes introducir un lugar a mano. Las coordenadas, redondeadas a dos decimales (aprox. 1 km), se envían a: Open-Meteo (datos meteorológicos; Open-Meteo, Suiza), BigDataCloud (nombre del lugar o localización por IP; BigDataCloud Pty Ltd, Australia) y, como alternativa, Nominatim/OpenStreetMap (nombre del lugar; OpenStreetMap Foundation, Reino Unido). La ubicación se guarda solo en tu dispositivo y no se vincula a tu cuenta. Puedes desactivarlo en cualquier momento en los ajustes.
Base jurídica: art. 6.1.a del RGPD (consentimiento al activar la función), revocable en todo momento.
PurFact no utiliza cookies. Para el inicio de sesión y los ajustes, la aplicación usa el almacenamiento local de tu navegador (localStorage): allí se guardan tu testigo de sesión, el idioma elegido y los ajustes de visualización. En la extensión del navegador, tu progreso y tus ajustes se guardan además en el almacenamiento de extensiones del navegador. La aplicación crea allí también a diario una copia de seguridad local de tus datos de aprendizaje (rotativa, los últimos siete días) para poder deshacer una pérdida accidental; tampoco sale de tu dispositivo. Estos datos se eliminan cuando cierras la sesión, borras los datos del sitio o quitas la extensión.
Como nada de ello sirve para analítica o publicidad, no se requiere consentimiento conforme al art. 25 de la TDDDG alemana; el almacenamiento es estrictamente necesario para el servicio que has solicitado expresamente (art. 25.2.2 TDDDG).
A través del formulario de contacto transmites tu mensaje, tu dirección de correo y, si lo deseas, tu nombre. El nombre es opcional; la dirección la necesito para poder responderte. Los datos no se guardan en una base de datos, sino que se envían directamente como correo a mi buzón.
Para protegerse frente al abuso automatizado, el servidor cuenta cuántos mensajes llegan desde la misma conexión a internet dentro de la hora en curso. Para ello la dirección IP se almacena solo como suma de verificación, a partir de la cual no puede reconstruirse; el contador caduca automáticamente. He decidido no utilizar CAPTCHA: supondría otro prestador de servicios y, para algunas personas, una barrera.
Lo mismo se aplica si escribes directamente a contact@purfact.app o llamas al número indicado en el aviso legal.
Base jurídica: art. 6.1.f del RGPD (interés legítimo en responder consultas) o art. 6.1.b del RGPD en consultas relacionadas con el contrato. Elimino las consultas en cuanto quedan resueltas de forma definitiva y no se oponen plazos legales de conservación.
En la página de inicio puedes apuntarte para recibir un único correo en el lanzamiento oficial de PurFact, sin boletines. Para ello guardo tu dirección de correo, el idioma elegido y las fechas de alta y confirmación en la base de datos de Supabase (véase el apartado 3, mismo encargado del tratamiento).
Para que nadie pueda introducir una dirección ajena, primero recibes un correo de confirmación (doble opt-in). Solo después de tu clic se guarda la dirección; sin confirmación el enlace caduca a los 7 días y no te escribiré. Se aplica el mismo contador contra abusos que en el formulario de contacto (la dirección IP solo como suma de comprobación).
Base jurídica: tu consentimiento, art. 6.1.a RGPD. Puedes retirarlo en cualquier momento mediante el enlace de baja de cada correo o escribiendo a contact@purfact.app; la dirección se elimina. Tras el correo del lanzamiento borro la lista.
Puedes eliminar tu cuenta tú mismo en cualquier momento: en la aplicación, en ⚙️ Ajustes → «Eliminar cuenta y datos», de inmediato y sin consultarme. Como alternativa basta con un mensaje breve desde tu dirección registrada a contact@purfact.app. Se eliminan la cuenta, el perfil, la imagen de perfil, el progreso de aprendizaje, los datos de los duelos y las notificaciones. Lo único que se conserva es la estadística anónima de tarjetas del apartado 5, porque ya no guarda relación contigo.
Tienes derecho en todo momento a acceder (art. 15), rectificar (art. 16), suprimir (art. 17), limitar el tratamiento (art. 18) y a la portabilidad de los datos (art. 20), así como a retirar el consentimiento prestado (art. 7.3); la retirada surte efecto de cara al futuro.
Derecho de oposición (art. 21 del RGPD): en la medida en que trate datos sobre la base de intereses legítimos, puedes oponerte a ese tratamiento por motivos relacionados con tu situación particular.
Además, te asiste el derecho a presentar una reclamación ante una autoridad de control. La autoridad competente es:
Actualizaré esta política cuando cambie el tratamiento, por ejemplo en cuanto se añada una función de pago. Rige siempre la versión disponible aquí; la fecha de arriba indica su estado.
← Volver a la página de inicio
Aviso legal · Privacidad · Condiciones · Desistimiento · Cancelar contratos aquí · Contacto
