Privacy policy

Last updated: 16 October 2026

Draft. This policy is being reviewed and is not final yet.

Flavy is an app for planning meals, keeping recipes and sharing a shopping list with the people you cook with. This policy explains which personal data the app and this website process, why, and what rights you have.

1. Who is responsible

The controller under the GDPR is:
[Full name or company]
[Street and number]
[Postcode, city, country]
Email: [privacy email]

[If a data protection officer is appointed, add their contact details here; otherwise remove this sentence.]

2. What we process and why

Your account

When you sign up we process your email address, a password (stored only as a hash), your display name and avatar choice. If you sign in with Google or Apple, we receive an account identifier and the email address the provider shares with us. We need this data to provide the app (Art. 6(1)(b) GDPR). Without it you cannot use Flavy.

Your household and its content

Flavy stores what you and your household add: recipes, recipe covers, favourites, the meal plan, the shopping list, household membership and roles, invites, dietary notes you enter for members, and the household activity feed. Members of your household can see shared content. This is necessary to provide the app (Art. 6(1)(b) GDPR). Dietary notes can reveal health information or beliefs; enter them only if you want your household to see them, and only with the consent of the person concerned (Art. 9(2)(a) GDPR). Data is also kept on your device so the app works offline, and is synchronised when you are online.

Recipe import

When you import a recipe from a web link, our server downloads that page. When you import from a photo, the text is recognised on your device; the photo itself is not uploaded. The page or recognised text is then sent to an AI model hosted by Replicate to turn it into a structured recipe. We do this because you asked for it (Art. 6(1)(b) GDPR).

Watercolor covers (“Paint it”)

When you ask Flavy to paint a cover, the recipe’s title, description, ingredients and steps are sent to AI models hosted by Replicate: one checks that it is a recipe and writes a short visual description, a second paints the image. The finished image is stored in our database. Recipe text is removed from the job once it is finished; only a fingerprint is kept to avoid charging you twice. Unused images are deleted after 30 days. We count your free and used images. Legal basis: Art. 6(1)(b) GDPR.

Usage analytics (only with your consent)

If you allow it, the app sends usage events to PostHog, for example “meal planned” or “shopping item checked”, with technical details such as the app version, the device type, your user ID and your household ID. We never send recipe titles, ingredients, search terms, household names or other text you write. We use this to understand which features help households and where the app falls short. Legal basis: your consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG). Nothing is sent until you agree, and you can withdraw your consent at any time in the app under Settings → Privacy. When you delete your account we also ask PostHog to delete your analytics data.

Crash and error reports

When the app crashes or an error occurs, a technical report is sent to Sentry: the error, the app and operating-system version, the device model and your user ID. This lets us find and fix faults. Legal basis: our legitimate interest in a reliable app (Art. 6(1)(f) GDPR). Reports are kept for [retention period].

Emails

We send emails that belong to your account, such as confirming your address or resetting your password, through [email provider]. Legal basis: Art. 6(1)(b) GDPR. We do not send newsletters.

This website

When you visit flavy.io, our host Vercel processes your IP address, the requested page, time and browser details in server logs to deliver the site and keep it secure (Art. 6(1)(f) GDPR). To count visits we use Vercel Web Analytics. It sets no cookies and stores nothing on your device; visits are counted without a lasting identifier, and invite codes are removed from the address before anything is sent. Legal basis: our legitimate interest in understanding how the site is used (Art. 6(1)(f) GDPR). Your language choice is saved only in your browser. Invite pages show the invite code from the link in your browser only.

3. Who receives data

We use these service providers. They process data on our behalf under a data processing agreement.

Provider	Purpose	Location
Supabase	Database, sign-in, file storage and server functions	EU (Frankfurt, Germany)
Replicate	AI models for recipe import and watercolor covers	USA
PostHog	Usage analytics, only with consent	EU
Sentry	Crash and error reports	EU (Germany)
Vercel	Hosting and visitor statistics for flavy.io	[region]
[Email provider]	Account emails	[region]
Google, Apple	Only if you choose to sign in with them	EU / USA

Transfers to the USA rely on [the EU–US Data Privacy Framework certification of the provider / standard contractual clauses under Art. 46(2)(c) GDPR]. Apple and Google also act under their own privacy policies when you use their sign-in.

4. How long we keep data

Account and household data: until you delete your account. [Describe what happens to recipes and other content you shared with your household when you delete your account.]
Unused watercolor images: 30 days.
Analytics data: [retention period], and deleted when you delete your account.
Crash reports: [retention period].
Backups: [backup retention period].

5. Your rights

You have the right to access your data (Art. 15), to correct it (Art. 16), to have it deleted (Art. 17), to restrict processing (Art. 18), to data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21 GDPR). You can withdraw consent at any time with effect for the future.

In the app, Profile → Data & support lets you export your data and delete your account. For anything else, email us at the address above.

You can also complain to a data protection supervisory authority, for example the one where you live or [the authority responsible for the controller].

6. Automated decisions

Flavy does not make decisions about you that have legal or similarly significant effects based solely on automated processing.

7. Changes

We update this policy when the app or the law changes. The date at the top shows the latest version.

Datenschutzerklärung

Stand: 16. Oktober 2026

Entwurf. Diese Erklärung wird noch geprüft und ist nicht endgültig.

Flavy ist eine App, mit der du Mahlzeiten planst, Rezepte sammelst und eine Einkaufsliste mit den Menschen teilst, mit denen du kochst. Hier erfährst du, welche personenbezogenen Daten die App und diese Website verarbeiten, warum, und welche Rechte du hast.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
[Vollständiger Name oder Firma]
[Straße und Hausnummer]
[PLZ, Ort, Land]
E-Mail: [Datenschutz-E-Mail]

[Falls ein Datenschutzbeauftragter benannt ist, hier die Kontaktdaten angeben; sonst diesen Satz entfernen.]

2. Was wir verarbeiten und warum

Dein Konto

Bei der Registrierung verarbeiten wir deine E-Mail-Adresse, ein Passwort (nur als Hash gespeichert), deinen Anzeigenamen und deinen Avatar. Meldest du dich mit Google oder Apple an, erhalten wir eine Kontokennung und die E-Mail-Adresse, die der Anbieter mit uns teilt. Diese Daten brauchen wir, um die App bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Ohne sie kannst du Flavy nicht nutzen.

Dein Haushalt und seine Inhalte

Flavy speichert, was du und dein Haushalt hinzufügen: Rezepte, Rezeptbilder, Favoriten, den Essensplan, die Einkaufsliste, Mitgliedschaften und Rollen, Einladungen, Ernährungshinweise zu Mitgliedern und den Aktivitätsverlauf. Mitglieder deines Haushalts sehen geteilte Inhalte. Das ist zur Bereitstellung der App erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ernährungshinweise können Gesundheitsdaten oder Überzeugungen offenbaren; trage sie nur ein, wenn dein Haushalt sie sehen soll, und nur mit Einwilligung der betroffenen Person (Art. 9 Abs. 2 lit. a DSGVO). Die Daten werden auch auf deinem Gerät gespeichert, damit die App offline funktioniert, und synchronisiert, sobald du online bist.

Rezeptimport

Importierst du ein Rezept über einen Link, lädt unser Server diese Seite herunter. Beim Import aus einem Foto wird der Text auf deinem Gerät erkannt; das Foto selbst wird nicht hochgeladen. Die Seite bzw. der erkannte Text wird anschließend an ein KI-Modell bei Replicate geschickt, das daraus ein strukturiertes Rezept macht. Das tun wir, weil du es angefordert hast (Art. 6 Abs. 1 lit. b DSGVO).

Aquarell-Titelbilder („Malen“)

Wenn Flavy ein Titelbild malen soll, werden Titel, Beschreibung, Zutaten und Schritte des Rezepts an KI-Modelle bei Replicate geschickt: Eines prüft, ob es sich um ein Rezept handelt, und schreibt eine kurze Bildbeschreibung, ein zweites malt das Bild. Das fertige Bild wird in unserer Datenbank gespeichert. Der Rezepttext wird nach Abschluss des Auftrags entfernt; nur ein Fingerabdruck bleibt, damit dir nichts doppelt berechnet wird. Nicht verwendete Bilder werden nach 30 Tagen gelöscht. Wir zählen deine freien und verbrauchten Bilder. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Nutzungsstatistik (nur mit Einwilligung)

Wenn du zustimmst, sendet die App Nutzungsereignisse an PostHog, zum Beispiel „Mahlzeit geplant“ oder „Einkauf abgehakt“, mit technischen Angaben wie App-Version, Gerätetyp, deiner Nutzer-ID und deiner Haushalts-ID. Rezepttitel, Zutaten, Suchbegriffe, Haushaltsnamen oder andere Texte, die du schreibst, senden wir nie. So verstehen wir, welche Funktionen Haushalten helfen und wo die App noch nicht gut genug ist. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Vor deiner Zustimmung wird nichts gesendet, und du kannst die Einwilligung jederzeit in der App unter Einstellungen → Datenschutz widerrufen. Löschst du dein Konto, beauftragen wir PostHog, auch deine Nutzungsdaten zu löschen.

Absturz- und Fehlerberichte

Stürzt die App ab oder tritt ein Fehler auf, wird ein technischer Bericht an Sentry gesendet: der Fehler, App- und Betriebssystemversion, das Gerätemodell und deine Nutzer-ID. So finden und beheben wir Fehler. Rechtsgrundlage: unser berechtigtes Interesse an einer zuverlässigen App (Art. 6 Abs. 1 lit. f DSGVO). Berichte werden [Speicherdauer] aufbewahrt.

E-Mails

E-Mails zu deinem Konto, etwa zur Bestätigung deiner Adresse oder zum Zurücksetzen des Passworts, versenden wir über [E-Mail-Anbieter]. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Newsletter versenden wir nicht.

Diese Website

Wenn du flavy.io besuchst, verarbeitet unser Hoster Vercel deine IP-Adresse, die aufgerufene Seite, Uhrzeit und Browserangaben in Server-Logs, um die Seite auszuliefern und abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Für eine Besucherstatistik nutzen wir Vercel Web Analytics. Es setzt keine Cookies und speichert nichts auf deinem Gerät; Besuche werden ohne dauerhafte Kennung gezählt, und Einladungscodes werden vor dem Senden aus der Adresse entfernt. Rechtsgrundlage: unser berechtigtes Interesse zu verstehen, wie die Seite genutzt wird (Art. 6 Abs. 1 lit. f DSGVO). Deine Sprachwahl wird nur in deinem Browser gespeichert. Einladungsseiten zeigen den Code aus dem Link nur in deinem Browser an.

3. Empfänger

Wir setzen folgende Dienstleister ein. Sie verarbeiten Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags.

Anbieter	Zweck	Ort
Supabase	Datenbank, Anmeldung, Dateispeicher und Serverfunktionen	EU (Frankfurt)
Replicate	KI-Modelle für Rezeptimport und Aquarell-Titelbilder	USA
PostHog	Nutzungsstatistik, nur mit Einwilligung	EU
Sentry	Absturz- und Fehlerberichte	EU (Deutschland)
Vercel	Hosting und Besucherstatistik von flavy.io	[Region]
[E-Mail-Anbieter]	Konto-E-Mails	[Region]
Google, Apple	Nur wenn du dich mit ihnen anmeldest	EU / USA

Übermittlungen in die USA stützen sich auf [die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework / Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO]. Apple und Google handeln bei ihrer Anmeldung zusätzlich nach ihren eigenen Datenschutzbestimmungen.

4. Speicherdauer

Konto- und Haushaltsdaten: bis du dein Konto löschst. [Beschreiben, was mit Rezepten und anderen Inhalten passiert, die du mit deinem Haushalt geteilt hast, wenn du dein Konto löschst.]
Nicht verwendete Aquarellbilder: 30 Tage.
Nutzungsdaten: [Speicherdauer], und Löschung, wenn du dein Konto löschst.
Absturzberichte: [Speicherdauer].
Backups: [Aufbewahrung der Backups].

5. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

In der App kannst du unter Profil → Daten & Support deine Daten exportieren und dein Konto löschen. Für alles andere schreib uns an die oben genannte Adresse.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa an deinem Wohnort oder bei [der für den Verantwortlichen zuständigen Behörde].

6. Automatisierte Entscheidungen

Flavy trifft keine ausschließlich automatisierten Entscheidungen über dich, die rechtliche oder ähnlich erhebliche Wirkung haben.

7. Änderungen

Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Das Datum oben zeigt die aktuelle Fassung.