Datenschutzerklärung

Worauf Site Pulse zugreift

Wenn du dich entscheidest, ein Google-Konto zu verbinden, bittet Site Pulse Google um diese Berechtigungen:

• Deine Google-Analytics-Daten ansehen und herunterladen (https://www.googleapis.com/auth/analytics.readonly). Site Pulse nutzt sie, um die Google-Analytics-4-Properties aufzulisten, die dein Konto sehen kann (Property- und Kontonamen, Property-IDs und Zeitzonen), und um dafür aggregierte Berichte zu lesen: aktive Nutzer gerade jetzt und in den letzten 30 Minuten, Nutzer heute und gestern, Nutzer in den letzten 7 Tagen und die übliche Zahl der Nutzer nach Stunde der Woche. Für die Widgets liest es außerdem aktive Nutzer pro Minute in den letzten 30 Minuten, Nutzer pro Stunde in den letzten 24 Stunden sowie Nutzer pro Tag, die Top-Länder und die Traffic-Quellen für diesen und den letzten Monat. Solange du die Details einer Website geöffnet hast, liest es zudem, nur für die letzten 30 Minuten, wo ihre Besucher sind (Länder und die Städte eines Landes, das du öffnest), die Titel der Seiten, die sie ansehen, die Art des Geräts, das sie nutzen (Desktop, Handy, Tablet), und die Namen der Events, die ihre Besuche gesendet haben (etwa Seitenaufrufe oder Scrollvorgänge), jeweils als aggregierte Zahlen. Um die Webadresse jeder Website zu finden, liest es den Web-Datenstream der Property (ihre Standardadresse, keine Besucherdaten). Der Zugriff ist schreibgeschützt: Site Pulse kann nichts in deinem Analytics-Konto ändern.
• Deine E-Mail-Adresse und grundlegende Anmeldeidentität (openid und email). Site Pulse nutzt sie nur, um anzuzeigen, welches Google-Konto verbunden ist, und um mehrere verbundene Konten zu unterscheiden.

Site Pulse greift auf keine anderen Google-Daten zu. Es sieht keine einzelnen Besucher deiner Websites; Google Analytics meldet nur aggregierte Zahlen.

Site Pulse verlangt dafür keine zusätzliche Google-Berechtigung: Die Datenstreams und die Detailberichte werden mit derselben schreibgeschützten Berechtigung analytics.readonly gelesen.

Auf dem iPhone und iPad brauchen Live-Aktivitäten für deine eigenen Websites eine weitere Einwilligung: Der Server von Site Pulse bittet Google um eine eigene Berechtigung mit denselben drei Scopes (analytics.readonly, openid und email), einmal pro Google-Konto und erst, nachdem du in der App zugestimmt hast (siehe Server für Live-Aktivitäten).

Ohne verbundenes Konto zeigt Site Pulse eine Demo-Website mit simulierten Besuchern und stellt keine Anfragen an Google oder an den Server von Site Pulse. Die Live-Aktivität der Demo wird auf dem iPhone oder iPad selbst erzeugt.

Wo deine Daten gespeichert sind

Auf deinen Geräten (Mac, iPhone, iPad) und in deinem eigenen iCloud-Account (siehe iCloud-Sync). Was der Server von Site Pulse für Live-Aktivitäten speichert, ist gesondert unter Server für Live-Aktivitäten aufgeführt.

• Für jedes verbundene Konto speichert dein Schlüsselbund das von Google ausgestellte Anmeldetoken, zusammen mit der E-Mail-Adresse des Kontos und seiner Google-Konto-ID (zur Beschriftung des Kontos und zur Unterscheidung mehrerer Konten). Ist der iCloud-Schlüsselbund eingeschaltet, wird dieses Schlüsselbund-Objekt auch mit deinen anderen Geräten synchronisiert (siehe iCloud-Sync).
• Die Liste deiner Properties (abgelegt unter der Google-Konto-ID, die sie sehen kann, mit der Webadresse jeder Property) und das übliche Traffic-Muster jeder Website werden im eigenen Ordner der App zwischengespeichert (Application Support, innerhalb der Sandbox der App, auf jedem Gerät), damit die App schnell startet und weniger Anfragen stellt.
• Das Icon jeder beobachteten Website und ihre Hauptfarbe, mit der Site Pulse die Kachel der Website einfärbt, werden im eigenen Ordner der App (Application Support) zwischengespeichert und höchstens einmal pro Woche aktualisiert.
• Deine Einstellungen (welche Websites beobachtet werden, Kurznamen, Farben, Reihenfolge und Optionen) werden in den Voreinstellungen der App gespeichert. Die unter iCloud-Sync aufgeführten Auswahlen werden zusätzlich über iCloud synchronisiert.

Widgets

Wenn du Site-Pulse-Widgets auf deinem Schreibtisch, in der Mitteilungszentrale, auf dem Home-Bildschirm oder dem Sperrbildschirm hinzufügst, speichert die App die Daten, die sie zeigen, in einem gemeinsamen Ordner auf diesem Gerät (einem App-Group-Container; auf dem Mac ist es ~/Library/Group Containers/566SSXX9H8.com.sgumz.sitepulse/). Er enthält:

• einen Schnappschuss aggregierter Analytics-Zahlen für deine beobachteten Websites und für alle zusammen: Nutzer pro Monat und pro Tag (dieser und letzter Monat), die letzten 24 Stunden als Kurve, die Top-Länder (dieser und letzter Monat) und Traffic-Quellen, die aktuellen Live-Zahlen, aktive Nutzer pro Minute in den letzten 30 Minuten und welche Websites einen Spike haben, einige aus diesen Zahlen berechnete Highlights sowie die Namen, Property-IDs, Farben, Monogramme und Zeitzonen deiner Websites und die Google-Konto-ID, die jede Website liest;
• ob Site Pulse Pro aktiv ist, welcher Tarif und bis wann (siehe Site Pulse Pro), damit die Widgets wissen, welche Details sie zeigen;
• Kopien der Icons der beobachteten Websites;
• ein Protokoll, wann Spikes auf deinen beobachteten Websites in den letzten 31 Tagen begonnen haben (nur Property-ID und Startzeit);
• auf dem iPhone und iPad eine kleine Notiz, wann die Widgets zuletzt selbst Daten abgerufen haben (siehe unten): der Zeitpunkt des letzten Versuchs, ob Google um eine Drosselung gebeten hat, und welche Website beim nächsten Mal zuerst dran ist.

Nur Site Pulse und seine Widgets lesen diesen Ordner. Nichts in diesem Ordner verlässt das Gerät, und er wird nicht über iCloud synchronisiert.

Auf dem Mac hat die Widget-Erweiterung keinen Netzwerkzugriff und liest nie deine Google-Anmeldetokens, die im Schlüsselbund bleiben; die Zahlen werden von der App abgerufen, mit derselben schreibgeschützten Berechtigung wie oben.

Auf dem iPhone und iPad lässt iOS die App nur selten im Hintergrund laufen, daher holen sich die Widgets möglicherweise selbst frische Zahlen. Sind die Daten, die sie haben, älter als 15 Minuten, kontaktiert die Widget-Erweiterung Google Analytics direkt mit deiner eigenen Anmeldung: Sie liest die Anmeldung aus dem Schlüsselbund (demselben Objekt, das die App nutzt; sie ändert es nie), holt von Google ein kurzlebiges Zugriffstoken und fordert dieselben aggregierten Berichte für deine beobachteten Websites an (Live-Nutzer, Nutzer pro Minute und pro Stunde sowie die Zahlen dieses Monats), mit derselben schreibgeschützten Berechtigung wie oben. Sie versucht es höchstens alle 5 Minuten und gibt nach wenigen Sekunden auf. Das Zugriffstoken wird nur im Arbeitsspeicher gehalten. Die neuen Zahlen werden in den obigen Schnappschuss geschrieben, und sonst wird nichts irgendwohin gesendet. Ohne verbundenes Konto oder für die Demo-Website stellen die Widgets keine Anfragen.

Solange Site Pulse läuft (oder auf dem iPhone und iPad im Hintergrund aktualisiert, wenn iOS es erlaubt), schreibt es den Schnappschuss etwa alle 15 Minuten neu und kurz nachdem du änderst, welche Websites du beobachtest, oder ein Konto entfernst. Dabei fällt jedes Mal eine Website, die du nicht mehr beobachtest, aus dem Schnappschuss, ihre Icon-Kopie wird gelöscht, ihre Einträge werden aus dem Spike-Protokoll entfernt, und Spikes, die älter als 31 Tage sind, werden ebenfalls entfernt. Ist kein Google-Konto verbunden, enthält der Schnappschuss stattdessen die simulierte Demo-Website, und die Icon-Kopien und das Spike-Protokoll werden gelöscht. macOS löscht den Ordner auf dem Mac nicht, wenn du die App löschst; um dort alles zu entfernen, lösche den oben genannten Ordner.

Die Länder, Städte, Seitentitel, Geräte und Events in den Details einer Website werden nur abgerufen, solange diese Details geöffnet sind. Sie werden im Arbeitsspeicher gehalten, solange Site Pulse läuft (sodass beim erneuten Öffnen der Details sofort etwas zu sehen ist), nie auf die Festplatte geschrieben und sind weg, wenn du die App beendest.

Website-Icons

Um das Icon jeder Website anzuzeigen, lädt Site Pulse es direkt von deiner Website herunter: Es ruft die Webadresse ab, die Google Analytics für die Website angibt (und folgt dabei Weiterleitungen), liest diese Startseite und ruft dann die Icon-Speicherorte ab, auf die die Seite selbst verweist und die auf einem Content Delivery Network liegen können, das die Website nutzt. Site Pulse nutzt nie einen Favicon- oder Icon-Dienst von Dritten und sendet in diesen Anfragen keine Analytics-Daten. Es sind gewöhnliche Webanfragen, deine Website kann sie daher in ihren eigenen Server-Logs sehen.

Site Pulse schreibt kurze Diagnosemeldungen, etwa zu einer fehlgeschlagenen Anfrage und der Property-ID, für die sie galt, in das Systemprotokoll des Geräts. Sie bleiben auf diesem Gerät und enthalten keine Analytics-Zahlen und keine Tokens.

Site Pulse spricht über verschlüsselte Verbindungen direkt mit den Servern von Google (accounts.google.com, oauth2.googleapis.com, analyticsdata.googleapis.com und analyticsadmin.googleapis.com) und mit deinen eigenen Websites, um deren Icons abzurufen (siehe oben). Auf dem iPhone und iPad spricht die App, sobald du eine Live-Aktivität für eine deiner eigenen Websites startest oder Spike-Hinweise einschaltest, außerdem mit dem Server von Site Pulse unter api.ga4live.app (beschrieben unter Server für Live-Aktivitäten); und wenn du dich auf dem iPhone oder iPad abmeldest, bittet die App den Server, alles zu löschen, was er für dieses Konto speichert. Die Widgets auf iPhone und iPad sprechen nur mit oauth2.googleapis.com und analyticsdata.googleapis.com. Die Mac-App spricht nie mit dem Server von Site Pulse. Abgesehen von dem, was der Server für Live-Aktivitäten speichert, wird nichts, was du in der App siehst, an mich gesendet oder von mir gespeichert. Ich verkaufe oder teile deine Google-Daten nie, und ich lese sie nicht.

iCloud-Sync

Wenn du Site Pulse auf mehr als einem deiner Geräte nutzt, werden zwei Dinge über deinen eigenen iCloud-Account zwischen ihnen synchronisiert. Diesen Sync betreibt Apple, nicht ich; der eigene Server von Site Pulse spielt dabei keine Rolle.

• Deine Google-Anmeldungen (das oben beschriebene Anmeldetoken, die E-Mail-Adresse und die Google-Konto-ID) werden als synchronisierbare Objekte im iCloud-Schlüsselbund gespeichert, den Apple Ende-zu-Ende-verschlüsselt. So erscheint ein Konto, das du auf einem Gerät verbindest, auf deinen anderen, ohne dass du dich erneut anmeldest. Es wird nur synchronisiert, wenn der iCloud-Schlüsselbund für deinen Apple-Account eingeschaltet ist; andernfalls bleibt die Anmeldung auf dem Gerät, auf dem du sie vorgenommen hast.
• Deine Website-Auswahl (welche Websites du beobachtest, ihre Reihenfolge, Kurznamen und Farben sowie der Farbmodus und die IDs der Properties, die deine Konten sehen können) wird über den iCloud-Schlüssel-Wert-Speicher synchronisiert. Sie enthält keine Anmeldetokens und keine Analytics-Zahlen. Die neueste Änderung gewinnt, wenn zwei Geräte sie gleichzeitig ändern.

Analytics-Zahlen, Caches, Icons und der Widget-Schnappschuss werden nicht synchronisiert: Jedes Gerät holt seine eigenen direkt von Google. Nichts in diesem Abschnitt geht an einen Server von Site Pulse, und ich kann deine iCloud-Daten nicht lesen.

Site Pulse Pro und Käufe

Site Pulse Pro (ein monatliches oder jährliches Abonnement oder ein einmaliger Kauf) wird über den App Store von Apple per In-App-Kauf verkauft. Apple wickelt Zahlung, kostenlose Testphase, Verlängerungen, Rückerstattungen und Familienfreigabe nach Apples Datenschutzerklärung ab; Site Pulse sieht nie deine Zahlungsdaten, deinen Namen oder deinen Apple-Account.

Auf jedem Gerät fragt Site Pulse bei Apples StoreKit, auf diesem Gerät, welche Käufe von Site Pulse Pro aktiv sind, und behält nur das Ergebnis: ob Pro aktiv ist, welcher Tarif und bis wann. Es speichert dies zusammen mit den Widget-Daten (siehe oben), damit die Widgets ihre Details zeigen oder sperren können.

Live-Aktivitäten für deine eigenen Websites gehören zu Pro, daher muss der Server wissen, ob Pro aktiv ist. Sobald dein iPhone oder iPad den Server nutzt (siehe oben), sendet die App den signierten Beleg des App Store über deinen letzten Kauf an den Server von Site Pulse, wenn sie geöffnet wird, nach einem Kauf oder einer Wiederherstellung und wenn du eine Live-Aktivität startest. Der Server prüft ihn bei Apple und behält nur, ob Pro aktiv ist, bis wann, die ursprüngliche Transaktions-ID des Kaufs (eine Nummer, die Apple ihm zuweist), wann zuletzt geprüft wurde und, nachdem Pro endet, seit wann. Apple teilt dem Server außerdem mit, wenn dieser Kauf sich verlängert, ausläuft oder erstattet wird. Der Server sieht nie deinen Namen, Apple-Account oder deine Zahlungsdaten. Auf dem Mac verlässt der Pro-Status nie das Gerät.

Wenn du eine kostenlose Testphase startest, bittet Site Pulse darum, dir eine Benachrichtigung senden zu dürfen, und plant, wenn du es erlaubst, zwei Tage vor Ende der Testphase eine Erinnerung auf dem Gerät. Die Erinnerung ist eine lokale Benachrichtigung: Sie wird über keinen Server gesendet.

Server für Live-Aktivitäten

Auf dem iPhone und iPad zeigt eine Live-Aktivität die Live-Zahlen einer Website auf dem Sperrbildschirm (und auf dem iPhone in der Dynamic Island). iOS lässt eine App nicht jede Minute im Hintergrund laufen, deshalb übernimmt der eigene Server von Site Pulse diesen Teil: Er liest die Zahlen deiner Websites aus Google Analytics und sendet sie an dein iPhone oder iPad, um deine Live-Aktivitäten jede Minute zu aktualisieren und eine zu starten, wenn eine Website einen Spike hat, während die App geschlossen ist. Der Server wird von mir auf Google Cloud in den USA betrieben (Cloud Run und eine Firestore-Datenbank in der Region us-west1, mit Schlüsseln in Cloud KMS) und antwortet unter api.ga4live.app. Die Mac-App spricht nie mit ihm, und die Live-Aktivität der Demo-Website wird ohne ihn auf dem iPhone oder iPad erzeugt.

Wann der Server beteiligt ist

• Nur, wenn du ihn nutzt. Anmeldung und Demo registrieren sich nie beim Server. Dein iPhone oder iPad registriert sich nur dann bei ihm, wenn du zustimmst: Du startest eine Live-Aktivität für eine deiner eigenen Websites oder schaltest Spike-Hinweise ein, Site Pulse erklärt, was der Server speichert, und nichts wird gesendet, bevor du auf „Continue with Google“ tippst. Von da an erneuert es diese Registrierung jedes Mal, wenn Site Pulse geöffnet wird (zum Beispiel mit einem neuen Push-Token oder Pro-Kauf), auch nachdem du Spike-Hinweise ausgeschaltet hast, bis du auf „Delete my Live Activity data“ tippst. Wenn du Site Pulse 30 Tage lang nicht öffnest, löscht der Server die Registrierung, und die App legt beim nächsten Öffnen eine neue an. Eine Registrierung enthält keine Analytics-Daten: nur die unten unter „Für jedes Gerät“ aufgeführten Angaben und den kurzlebigen Anmeldenachweis von Google (ein ID-Token) für jedes verbundene Konto, den der Server prüft und aus dem er nur die Konto-ID behält.
• Deine Einwilligung. Der Server liest dein Google Analytics nur mit einer eigenen Berechtigung. Wenn du zum ersten Mal eine Live-Aktivität für eine deiner Websites startest oder Spike-Hinweise einschaltest, erklärt Site Pulse, was der Server speichert („Live updates while Site Pulse is closed“), und öffnet dann die Einwilligungsseite von Google, auf der du sie erteilen oder verweigern kannst. Das Anmeldetoken auf deinen Geräten verlässt sie nie.

Was der Server speichert

Kurz gesagt, wie die App es vor deiner Zustimmung sagt: eine verschlüsselte Google-Berechtigung, deine gewählten Websites und ihre Namen, den üblichen Traffic jeder Website zur Erkennung von Spikes, die neuesten Zahlen, die eine laufende Live-Aktivität zeigt, und eine ID für dieses Gerät. Im Einzelnen:

• Für jedes Google-Konto, das eingewilligt hat: die Google-Berechtigung des Servers (ein Refresh-Token), verschlüsselt mit einem Schlüssel in Google Cloud KMS, der KMS nie verlässt; die Google-Konto-ID des Kontos (eine Nummer, nicht deine E-Mail-Adresse); wann die Berechtigung erteilt wurde und ob sie noch funktioniert.
• Für jedes Gerät: eine zufällige Installations-ID; ein Einweg-Hash des Geheimnisses des Geräts, der belegt, dass spätere Anfragen vom selben Gerät stammen; das Push-to-Start-Token, das iOS Site Pulse gibt und mit dem der Server darauf eine Live-Aktivität starten kann, und, wenn Apple meldet, dass dieses Token weg ist, wann das geschah; ob „Häufigere Aktualisierungen“ eingeschaltet ist; die App-Version; welchen der Push-Dienste von Apple sie nutzt (Entwicklung oder App Store); wann die App zuletzt geöffnet wurde; die Google-Konto-IDs, die darauf angemeldet sind; und, wenn du Pro hast, der unter Site Pulse Pro beschriebene Kaufstatus.
• Solange Spike-Hinweise eingeschaltet sind: die Websites, die du gewählt hast (ihre Google-Analytics-Property-IDs und Zeitzonen), und ihre Namen, wie die App sie gesendet hat, damit ein Spike-Hinweis die Website nennen kann, bevor die App sich öffnet; der übliche Traffic jeder Website zur Erkennung von Spikes (durchschnittliche Nutzer für jede Stunde der Woche, aus den letzten 28 Tagen, und wie die jüngsten Minuten der Website damit verglichen aussehen); wann ihr letzter Spike begann; und, während eine Website einen Spike hat, seit wann und ihr aktuelles Vielfaches des Üblichen.
• Solange eine Live-Aktivität läuft: welche Websites sie zeigt (Property-IDs und Zeitzonen), wann sie gestartet und beendet wurde, und die neuesten Zahlen, die sie zeigt: Live-Nutzer und Nutzer pro Minute in den letzten 30 Minuten, heute im Vergleich zu gestern, das Top-Land und der Titel der Top-Seite sowie das Spike-Vielfache. Diese werden jede Minute ersetzt und gelöscht, wenn die Live-Aktivität endet. Bei einer Live-Aktivität, die du selbst startest, speichert der Server keine Website-Namen; dein iPhone oder iPad ergänzt sie.
• Eine Berechtigung, die auf ihren Widerruf wartet: Wenn Google oder Cloud KMS beim Löschen eines Kontos durch den Server nicht erreichbar ist, wird die verschlüsselte Berechtigung für sich aufbewahrt, jeden Tag erneut versucht und nach spätestens etwa 30 Tagen gelöscht.

Analytics-Zahlen laufen sonst durch den Server und werden nicht gespeichert. Der Server liest mit seiner schreibgeschützten Berechtigung nur diese aggregierten Berichte: Nutzer pro Minute in den letzten 30 Minuten, das Top-Land und die Top-Seite gerade jetzt, Nutzer heute und gestern sowie Nutzer nach Stunde der Woche in den letzten 28 Tagen. Die kurzlebigen Zugriffstokens von Google bleiben im Arbeitsspeicher des Servers. Der Server liest nie die Analytics Admin API (er bekommt deine Websites von der App) und sieht nie einzelne Besucher.

Was den Server verlässt

Updates für Live-Aktivitäten erreichen dein iPhone oder iPad über den Apple Push Notification Service. Sie enthalten die obigen Zahlen; Websites werden darin mit einem Code benannt, der aus deiner Konto-ID und der Property-ID gebildet wird, nie mit der Property-ID selbst, und ein Spike-Hinweis enthält außerdem den Namen der Website. An niemanden sonst wird etwas gesendet. Google Cloud speichert und betreibt den Server für mich; die eigenen Logs des Servers erfassen Route und Ergebnis jeder Anfrage sowie die Art eines Fehlers, nie Tokens, IDs oder Analytics-Zahlen, und Google Cloud bewahrt seine üblichen Anfrage-Logs (einschließlich Zeitpunkt und Netzwerkadresse jeder Anfrage) 30 Tage lang auf, seine Standardaufbewahrung für die Logs des Servers.

Ausschalten und löschen

• Settings → Live Activities → „Start a Live Activity when a site spikes“: Wenn du es ausschaltest, werden die gewählten Websites dieses Geräts, ihre Namen und ihr üblicher Traffic gelöscht. Wenn bei keinem anderen deiner Geräte Spike-Hinweise eingeschaltet sind und keine der Live-Aktivitäten des Kontos läuft, wird die Google-Berechtigung des Kontos bei Google widerrufen und mit ihr gelöscht.
• Stop (in der App oder auf der Live-Aktivität selbst) beendet die Live-Aktivität, und der Server löscht ihre neuesten Zahlen (sobald kein anderes deiner Geräte dieselbe zeigt). Sind keine Spike-Hinweise eingeschaltet, bleibt die Berechtigung bestehen, sodass deine nächste Live-Aktivität ohne erneute Nachfrage startet, bis eine der anderen unten genannten Möglichkeiten sie entfernt.
• Settings → Live Activities → „Delete my Live Activity data“: Der Server löscht dieses Gerät, seine Live-Aktivitäten und seine Spike-Hinweise sowie jedes Konto, das kein anderes deiner Geräte mehr nutzt, wobei seine Berechtigung bei Google widerrufen wird. Laufende Live-Aktivitäten enden.
• Abmelden (Settings → Accounts → Remove auf dem iPhone oder iPad) beendet die Live-Aktivitäten dieses Kontos und löscht alles, was der Server für das Konto speichert, auf allen deinen Geräten, wobei seine Berechtigung bei Google widerrufen wird. Ist der Server nicht erreichbar, teilt die App es ihm beim nächsten Öffnen mit, oder es gilt die 30-Tage-Regel weiter unten. Das Entfernen eines Kontos auf dem Mac erreicht den Server über dein iPhone oder iPad, wenn Site Pulse dort das nächste Mal geöffnet wird, sofern deine Anmeldungen über den iCloud-Schlüsselbund synchronisiert werden und dieses Gerät Live-Aktivitäten nutzt.
• Automatisch: Ein Gerät, auf dem Site Pulse 30 Tage lang nicht geöffnet wurde, wird gelöscht, samt seinen Live-Aktivitäten und Spike-Hinweisen, ebenso jedes Konto, das kein anderes Gerät nutzt. Meldet Apple, dass ein Gerät keine Live-Aktivitäten von Site Pulse mehr empfangen kann (meist, weil die App darauf gelöscht wurde; der Server erfährt das, wenn er das nächste Mal versucht, dort eine zu starten), vergisst der Server das Push-to-Start-Token dieses Geräts und hört sofort auf, dessen Websites auf Spikes zu beobachten; wird Site Pulse darauf nicht innerhalb von 7 Tagen erneut geöffnet (es sendet dann ein neues Token, und die Spike-Hinweise laufen weiter), wird das Gerät auf dieselbe Weise gelöscht, samt seinen Live-Aktivitäten und Spike-Hinweisen und jedem Konto, das kein anderes Gerät nutzt. Die 30-Tage-Regel gilt unabhängig davon. Die Berechtigung und die Daten eines Kontos werden außerdem gelöscht, sobald Pro auf jedem Gerät, das es hatte, seit 16 Tagen beendet ist. Eine Prüfung läuft jeden Tag.
• Bei Google: Entferne Site Pulse unter myaccount.google.com/connections. Die Berechtigung funktioniert sofort nicht mehr; der Server löscht seine verschlüsselte Kopie, wenn er das nächste Mal versucht, sie zu nutzen, und eine laufende Live-Aktivität zeigt „paused · reconnect in Site Pulse“.

Du kannst auch die Schaltfläche „Support per E-Mail“ auf der Support-Seite nutzen, um alles löschen zu lassen, was der Server für dich speichert.

Google API Services User Data Policy

Die Nutzung und Weitergabe von Informationen, die Site Pulse von Google APIs erhält, an eine andere App, in den Site-Pulse-Apps und auf dem Server von Site Pulse für Live-Aktivitäten (api.ga4live.app), erfolgt in Übereinstimmung mit der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.

Insbesondere nutzt Site Pulse Daten aus Google APIs nur, um dir deine eigenen Analytics anzuzeigen: in der App, in ihren Widgets und in deinen Live-Aktivitäten, auch um dich zu informieren, wenn eine deiner Websites einen Spike hat. Der Server verwendet die Daten nur dafür und sendet sie nur an deine eigenen Geräte (über den Apple Push Notification Service). Site Pulse gibt die Daten an niemanden sonst weiter, nutzt sie nicht für Werbung, nicht zum Training von KI- oder Machine-Learning-Modellen und lässt keine Person sie lesen.

Wie deine Daten geschützt werden

Deine Google-Anmeldungen und deine Analytics-Daten sind sensibel, daher schützt Site Pulse sie an jedem Ort, an dem sie existieren:

• Minimale Rechte. Site Pulse bittet Google nur um schreibgeschützten Zugriff auf Google Analytics (die Berechtigung analytics.readonly) sowie um deine E-Mail-Adresse und Konto-ID zur Beschriftung des Kontos. Es kann deine Analytics-Einstellungen oder -Daten nicht ändern und bittet nie um Zugriff auf irgendetwas anderes in deinem Google-Konto.
• Verschlüsselung bei der Übertragung. Jede Verbindung, zwischen den Apps und Google, zwischen den Apps und dem Server für Live-Aktivitäten sowie zwischen dem Server und Google oder Apple, nutzt HTTPS (TLS). Nichts wird unverschlüsselt gesendet.
• Auf deinen Geräten. Google-Anmeldetokens werden nur im Apple-Schlüsselbund aufbewahrt, den das Betriebssystem verschlüsselt und auf Site Pulse beschränkt; mit dem iCloud-Schlüsselbund werden sie Ende-zu-Ende-verschlüsselt synchronisiert, sodass auch Apple sie nicht lesen kann. Zwischengespeicherte Zahlen und Einstellungen bleiben im abgeschotteten Container der App und in deinem eigenen iCloud-Account.
• Sichere Anmeldung. Die Anmeldung läuft über den eigenen Einwilligungsbildschirm von Google im System-Browser; Site Pulse sieht nie dein Google-Passwort. Die Anmeldung nutzt PKCE und einen signierten Einmal-State-Wert, damit eine Anmeldeantwort nicht abgefangen oder erneut abgespielt werden kann.
• Auf dem Server für Live-Aktivitäten. Die Google-Berechtigung, die der Server speichert (ein Refresh-Token), ist mit einem Schlüssel in Google Cloud KMS verschlüsselt, der KMS nie verlässt. Die Datenbank verweigert jeden direkten Zugriff aus dem Internet: Nur der Server selbst kann sie lesen oder beschreiben, und Google verschlüsselt sie im Ruhezustand. Jedes Gerät weist sich mit einem Geheimnis aus, das der Server nur als Einweg-SHA-256-Hash speichert. Die eigenen Schlüssel und Geheimnisse des Servers liegen im Google Cloud Secret Manager, und jeder Teil des Servers läuft nur mit den Berechtigungen, die er braucht.
• Minimale Aufbewahrung. Der Server speichert nur, was eine laufende Live-Aktivität braucht, wie oben aufgeführt, und löscht es unter Widerruf seiner Berechtigung bei Google, wenn du dich abmeldest, Site Pulse aus deinem Google-Konto entfernst oder mich darum bittest.
• Kein Verkauf, kein Lesen durch Menschen. Deine Daten werden nie verkauft, nie für Werbung genutzt und nie zum Training von KI-Modellen verwendet, und keine Person liest sie, es sei denn, du bittest mich um Hilfe bei einem Problem und erteilst die Erlaubnis, oder das Gesetz verlangt es.

Sollte ich je von einer Verletzung erfahren, die deine Daten betrifft, informiere ich dich unverzüglich, samt dem, was passiert ist und was zu tun ist.

Tracking und Analytics

Site Pulse hat keine SDKs für Analytics, Absturzberichte, Werbung oder Tracking. Das Einzige, was es darüber erfasst, wie du es nutzt: Sobald dein iPhone oder iPad den Server nutzt, speichert der Server, wann Site Pulse dort zuletzt geöffnet wurde, nur um die Daten des Geräts nach 30 Tagen ohne Öffnen zu löschen. Wenn du dich entscheidest, Absturzberichte in macOS, iOS oder iPadOS mit Entwicklern zu teilen, gibt Apple sie möglicherweise nach Apples eigener Datenschutzerklärung an mich weiter; sie enthalten nicht deine Google-Daten.

Diese Website

Alles oben betrifft die Site-Pulse-Apps und ihren Server. Diese Website, ga4live.app, ist davon getrennt: Sie nutzt Google Analytics über Google Site Kit, um Besuche zu zählen und zu sehen, welche Seiten Leute lesen und welche Links sie nutzen, etwa die Schaltfläche zum App Store. Google Analytics setzt Cookies in deinem Browser und erhält deine IP-Adresse, Angaben zu deinem Browser und Gerät sowie die Seiten, die du aufrufst; Google verarbeitet diese Daten nach seiner eigenen Datenschutzerklärung. Bei deinem ersten Besuch setzt das Netzwerk, das diese Website ausliefert (Amazon CloudFront), außerdem ein Cookie namens gl_locale, das nur einen Sprachcode enthält, etwa „ja“, gewählt nach dem Land, aus dem deine Verbindung kommt, damit die Website dir eine Seite in deiner Sprache vorschlagen kann. Es gilt ein Jahr, enthält keine personenbezogenen Daten, wird nicht weitergegeben, und du kannst es jederzeit löschen; die Website nutzt es nur für diesen Vorschlag und wählt nie eine Sprache für dich aus oder leitet dich weiter. Die Schriften der Website werden von dieser Website selbst ausgeliefert; kein Schriftdienst erhält deine IP-Adresse. Die Website zeigt keine Werbung, und ich verkaufe nichts über dich. Ein Content-Blocker oder das Browser-Add-on von Google zur Deaktivierung stoppt Google Analytics auf dieser Website.

Zugriff entziehen und deine Daten löschen

• In Site Pulse: Öffne Settings → Accounts und klicke auf Remove neben einem Konto, auf einem deiner Geräte. Das löscht sein Token, seine E-Mail-Adresse und seine Konto-ID aus dem Schlüsselbund, widerruft den Zugriff von Site Pulse bei Google und vergisst die Websites, die nur dieses Konto sehen konnte. Weil Anmeldungen über den iCloud-Schlüsselbund synchronisiert werden, entfernt das Entfernen eines Kontos auf einem Gerät es auch von deinen anderen Geräten. Auf dem iPhone und iPad löscht es zudem, was der Server von Site Pulse für das Konto speichert.
• Server für Live-Aktivitäten: siehe Ausschalten und löschen.
• Bei Google: Gehe zu deinem Google-Konto → Sicherheit → Deine Verbindungen zu Apps und Diensten von Drittanbietern (myaccount.google.com/connections), wähle Site Pulse und entziehe ihm den Zugriff.
• Alles: Das Löschen der App und ihres Containers (~/Library/Containers/com.sgumz.sitepulse) entfernt alle zwischengespeicherten Daten und Einstellungen; lösche außerdem den Widget-Ordner ~/Library/Group Containers/566SSXX9H8.com.sgumz.sitepulse; Anmeldungen werden über Settings → Accounts → Remove (siehe oben) entfernt, nicht von Hand in der Schlüsselbundverwaltung. Auf dem iPhone und iPad entfernt das Löschen der App ihre Caches und Einstellungen von diesem Gerät, aber synchronisierte Anmeldungen bleiben im iCloud-Schlüsselbund, bis du das Konto in Site Pulse (Settings → Accounts) auf einem beliebigen Gerät entfernst.

Kinder

Site Pulse ist ein Werkzeug für Website-Betreiber und richtet sich nicht an Kinder.

Änderungen

Wenn sich diese Erklärung ändert, wird die neue Fassung mit einem neuen Datum des Inkrafttretens auf dieser Seite veröffentlicht.

Kontakt

Sandro Gumz · schreib mir über die Schaltfläche „Support per E-Mail“ auf der Support-Seite