Privacy Policy (App)

1. Controller

2. What the app processes

• Account data: your email address, your login credentials and, if you set one, a display name used only for the greeting on the overview, managed through Supabase authentication. Session cookies are strictly necessary for the login (§ 25(2) no. 2 TDDDG). A few strictly necessary functional cookies remember choices you make in the app: your language (zairos_locale), your app icon (zairos_icon), the trading account you last viewed (zairos_last_account) and your event filter on the overview (zairos_feed_filter). Your appearance choice (theme and colours) is stored in your browser storage. None of these are used for tracking.
• Trading data you provide: accounts you create, trades you enter manually or import from files (CSV, MetaTrader reports), the free-text notes and screenshots you attach to your trades, and your discipline rules and settings.
• cTrader connection (optional): if you connect your cTrader ID, Zairos receives read-only access (account info scope) authorised by you at your trading platform. We store the access tokens encrypted (AES-256-GCM) and fetch your closed trades to score them. Zairos can never place, change or close orders. You can revoke the connection at any time in the app settings and in your cTrader profile.
• Discipline score: computed from your own trades and rules to show you your rule adherence. It is informational, produces no legal effect and is no automated decision within the meaning of Art. 22 GDPR.
• Push subscription (optional):if you enable push notifications on a device, we store a push subscription for that device: a device-identifying endpoint (a URL of your browser's push service) together with the cryptographic keys needed to deliver a notification. It is used only to send the blackout warnings you subscribed to; you can turn it off again per device in the app settings.
• Recap email:as an active user you receive a recurring summary email with your trading metrics (your discipline score, realized P&L and account names) for the previous week. You can switch it off at any time in the notification settings.
• Anonymous usage counter:to see which areas of the app are used, we count page views per app area and calendar day (for example "overview" or "trades"). The counter stores only the area name and the day, never your account, IP address, device or the specific record you opened. It cannot be traced back to you and is used solely to improve the product.

Legal bases: performance of the service you request (Art. 6(1)(b) GDPR) for account, trading data, the recap email and the cTrader connection you initiate; consent (Art. 6(1)(a) GDPR) for the push notifications you enable on a device; legitimate interest (Art. 6(1)(f) GDPR) for security, abuse protection and the anonymous usage counter.

3. Storage, recipients, transfers

Your data is stored with Supabase in Frankfurt (EU). The app is hosted by Vercel (USA; Standard Contractual Clauses and EU-US Data Privacy Framework). All emails the app sends, both the login and authentication emails and the weekly recap email, are delivered by our email provider Plus Five Five, Inc. (Resend), USA, which stores email metadata in the USA; transfers rely on Standard Contractual Clauses and the EU-US Data Privacy Framework. Emails you send us yourself, for example support requests or requests to exercise your rights, arrive in our mailbox hosted by Zoho Corporation GmbH (Zoho Mail), Germany, with the mailboxes located in EU data centres; the provider reserves the right to let staff of its group companies outside the EU access content for troubleshooting and spam review, covered by Standard Contractual Clauses. If you enable push notifications, delivering a notification transmits it through the push service of your browser or operating system (for example Apple, Google or Mozilla) in the USA or other third countries; we transmit only what is needed to deliver the notification. Payments are handled by Paddle as merchant of record with its own privacy notice at checkout; we never see your payment details. When you subscribe, we record your acceptance of the terms and the cancellation policy (the exact wording shown, its version, your user id and the time) as legally required proof of consent (Art. 7(1) GDPR, legal basis Art. 6(1)(c) and (f) GDPR). We sell no data.

4. Retention and deletion

Your account and trading data remain stored while your account exists. If you delete your account or request erasure, your personal data is removed in one connected process, including linked accounts, trades, scores and encrypted connection tokens (Art. 17 GDPR). Consent records are kept in pseudonymised form (no longer linked to you) as legal proof; statutory retention duties (for example for invoices) remain unaffected.

5. Your rights

You have the rights of access, rectification, erasure, restriction, data portability and objection (Art. 15 to 21 GDPR). Your trades can be exported in a machine-readable format. Requests: founders@zairos.de. Supervisory authority: Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden, Germany.

6. Changes

We update this policy when features, providers or the legal situation change. The version published here applies.

Datenschutzerklärung App (Deutsche Fassung)

Stand: 30. August 2026. Diese Erklärung gilt für die Zairos-App (app.zairos.de) im aktuellen geschlossenen Testbetrieb. Für Website und Warteliste (zairos.de) gilt die dortige Erklärung.

1. Verantwortlicher

2. Was die App verarbeitet

• Konto-Daten: Ihre E-Mail-Adresse, Ihre Anmeldedaten und, falls Sie ihn setzen, ein Anzeigename nur für die Begrüßung auf der Übersicht, verwaltet über die Supabase-Authentifizierung. Session-Cookies sind für den Login unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Einige unbedingt erforderliche funktionale Cookies merken sich Ihre Entscheidungen in der App: Ihre Sprache (zairos_locale), Ihr App-Symbol (zairos_icon), das zuletzt angesehene Handelskonto (zairos_last_account) und Ihren Termine-Filter auf der Übersicht (zairos_feed_filter). Ihre Darstellungs-Wahl (Design und Farben) wird im Browser-Speicher abgelegt. Keiner dieser Zugriffe dient einem Tracking.
• Trading-Daten, die Sie bereitstellen: angelegte Konten, manuell erfasste oder aus Dateien importierte Trades (CSV, MetaTrader-Reports), die freien Notizen und Screenshots, die Sie Ihren Trades hinzufügen, sowie Ihre Disziplin-Regeln und Einstellungen.
• cTrader-Verbindung (optional): Wenn Sie Ihre cTrader-ID verbinden, erhält Zairos den von Ihnen bei Ihrer Handelsplattform autorisierten Lesezugriff (Scope Account-Informationen). Die Zugriffs-Token speichern wir verschlüsselt (AES-256-GCM) und rufen Ihre geschlossenen Trades zur Bewertung ab. Zairos kann niemals Orders platzieren, ändern oder schließen. Sie können die Verbindung jederzeit in den App-Einstellungen und in Ihrem cTrader-Profil widerrufen.
• Disziplin-Score: wird aus Ihren eigenen Trades und Regeln berechnet und zeigt Ihnen Ihre Regeltreue. Er ist informatorisch, entfaltet keine rechtliche Wirkung und ist keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO.
• Push-Abonnement (optional): Wenn Sie Push-Benachrichtigungen auf einem Gerät aktivieren, speichern wir ein Push-Abonnement für dieses Gerät: einen geräte-identifizierenden Endpoint (eine URL des Push-Dienstes Ihres Browsers) samt der kryptographischen Schlüssel, die zum Zustellen einer Benachrichtigung nötig sind. Es dient nur dem Versand der von Ihnen abonnierten Sperrfenster-Warnungen; Sie können es je Gerät in den App-Einstellungen wieder abschalten.
• Wochenrückblick-Mail:Als aktiver Nutzer erhalten Sie eine wiederkehrende Zusammenfassungs-Mail mit Ihren Handelskennzahlen (Ihr Disziplin-Score, die realisierte P&L und Konto-Namen) der Vorwoche. Sie können sie jederzeit in den Benachrichtigungs-Einstellungen abschalten.
• Anonymer Nutzungszähler:Um zu sehen, welche Bereiche der App genutzt werden, zählen wir Seitenaufrufe je App-Bereich und Kalendertag (zum Beispiel "Übersicht" oder "Trades"). Der Zähler speichert nur den Bereichsnamen und den Tag, nie Ihr Konto, Ihre IP-Adresse, Ihr Gerät oder den konkret geöffneten Datensatz. Er lässt sich nicht auf Sie zurückführen und dient allein der Verbesserung des Produkts.

Rechtsgrundlagen: Erbringung des von Ihnen gewünschten Dienstes (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Trading-Daten, die Wochenrückblick-Mail und die von Ihnen initiierte cTrader-Verbindung; Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für die von Ihnen je Gerät aktivierten Push-Benachrichtigungen; berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Sicherheit, Missbrauchsschutz und den anonymen Nutzungszähler.

3. Speicherung, Empfänger, Übermittlungen

Ihre Daten liegen bei Supabase in Frankfurt (EU). Gehostet wird die App bei Vercel (USA; Standardvertragsklauseln und EU-US Data Privacy Framework). Alle Mails, die die App versendet, sowohl die Login- und Authentifizierungs-Mails als auch die Wochenrückblick-Mail, stellt unser E-Mail-Dienstleister Plus Five Five, Inc. (Resend), USA, zu; Resend speichert E-Mail-Metadaten in den USA. Die Übermittlungen stützen sich auf Standardvertragsklauseln und das EU-US Data Privacy Framework. Mails, die Sie selbst an uns schreiben, etwa Support-Anfragen oder die Ausübung Ihrer Rechte, gehen in unserem Postfach bei der Zoho Corporation GmbH (Zoho Mail), Deutschland, ein; die Postfächer liegen in EU-Rechenzentren, der Anbieter behält sich jedoch vor, Mitarbeitern seiner Konzerngesellschaften außerhalb der EU zur Fehlerbehebung und zur Spam-Prüfung Zugriff auf Inhalte zu geben, abgesichert über Standardvertragsklauseln. Wenn Sie Push-Benachrichtigungen aktivieren, wird eine Benachrichtigung beim Zustellen über den Push-Dienst Ihres Browsers oder Betriebssystems (etwa Apple, Google oder Mozilla) in den USA oder anderen Drittländern übertragen; wir übermitteln dabei nur das, was zur Zustellung nötig ist. Zahlungen wickelt Paddle als Merchant of Record mit eigener Datenschutzinformation im Checkout ab; Ihre Zahlungsdaten sehen wir nie. Beim Abschluss eines Abonnements protokollieren wir Ihre Zustimmung zu AGB und Widerrufsbelehrung (den exakt angezeigten Wortlaut, dessen Version, Ihre Nutzer-ID und den Zeitpunkt) als gesetzlich geforderten Nachweis (Art. 7 Abs. 1 DSGVO, Rechtsgrundlage Art. 6 Abs. 1 lit. c und f DSGVO). Wir verkaufen keine Daten.

4. Speicherdauer und Löschung

Konto- und Trading-Daten bleiben gespeichert, solange Ihr Konto besteht. Bei Konto-Löschung oder Löschverlangen werden Ihre personenbezogenen Daten in einem zusammenhängenden Vorgang entfernt, einschließlich verknüpfter Konten, Trades, Scores und verschlüsselter Verbindungs-Token (Art. 17 DSGVO). Zustimmungs-Nachweise werden pseudonymisiert (ohne Bezug zu Ihnen) als rechtlicher Beleg aufbewahrt; gesetzliche Aufbewahrungspflichten (etwa für Rechnungen) bleiben unberührt.

5. Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu (Art. 15 bis 21 DSGVO). Ihre Trades können Sie in einem maschinenlesbaren Format exportieren. Anfragen: founders@zairos.de. Aufsichtsbehörde: Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden.

6. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung.