Scope: This Privacy Policy applies to everyone who uses Mama Bloom, wherever you are. Mama Bloom is offered on the App Store in the European Union, Iceland and Norway, the United Kingdom, the United States, Australia and New Zealand, and in Bosnia and Herzegovina, Kosovo, Moldova, Montenegro, North Macedonia, Serbia and Ukraine. Whatever your location, the mandatory consumer and data-protection rights of your own country always apply, and nothing in this policy takes them away.

Applicable law (UK): UK GDPR; Data Protection Act 2018 (DPA 2018); Data (Use and Access) Act 2025 (DUAA 2025); Privacy and Electronic Communications Regulations 2003 (PECR).

Applicable law (EU): EU GDPR (Regulation (EU) 2016/679); German Bundesdatenschutzgesetz (BDSG); German Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, formerly TTDSG); ePrivacy Directive (2002/58/EC) as nationally implemented.

Applicable law (US): California Consumer Privacy Act as amended by the California Privacy Rights Act (CCPA/CPRA); the comprehensive state consumer-data-privacy laws of Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA), Montana, Indiana, Kentucky, Rhode Island, and other states as they take effect; and the consumer-health-data statutes — the Washington My Health My Data Act (MHMDA), Nevada SB 370, and the Connecticut Data Privacy Act health-data amendments (SB 3).

Applicable law (Australia): Privacy Act 1988 (Cth) and the 13 Australian Privacy Principles (APPs), as amended by the Privacy and Other Legislation Amendment Act 2024 (Cth).

Applicable law (New Zealand): Privacy Act 2020 and the 13 Information Privacy Principles (IPPs).

What's new in v1.4.11 (17 October 2026): Six small items move out of the ordinary app data that a backup can carry to another iPhone.

• Your year of birth, the letters Mama Bloom AI wrote after your first 7, 30 and 100 days and the mark that Mama Bloom sent you a support note after a PHQ-9 check-in are now kept in the protected storage on this iPhone that backups do not carry; your year of birth also stays, as before, in the record of your consent in this iPhone's Keychain (Section 7).
• Whether Held is on and when Mama Bloom last suggested it, whether Mama Bloom has stopped showing and sending anything about your journey stage, and for which anniversaries of a loss a note has already reached you are now kept in this iPhone's Keychain. Only this iPhone can read what is kept there, a backup can bring it back only to this iPhone, and iOS lets Mama Bloom read it while your iPhone is locked (Section 7).
• These Keychain items stay with your account when you sign out. If you delete the app, they now stay on this iPhone, as your journey stage, the record of your consent and your sign-in already did, and they apply again if Mama Bloom is installed on this iPhone again. Delete My Account and Delete all my data remove them, and so does erasing all content and settings of this iPhone (Section 7).

Section 7 is updated. No new processing purpose, party or data category — no re-acknowledgement is required.

What's new in v1.4.10 (13 October 2026): Material update — the Library and the Morning Check-In for Mama Bloom+ members with saved-context sharing on, a Sunday letter written only when you open it, more ways to decide what Mama Bloom remembers, and some corrections.

• The Library and the Morning Check-In (Mama Bloom+): while Personalised AI saved-context sharing is on, the requests for your For You articles and your daily read, for an article's note and question, for a section's note and for the Morning Check-In note can contain your saved context, including the Morning Check-In note that Mama Bloom prepares when you open the app in the morning. Section 6 lists what each request contains. While saved-context sharing is off, and in the Library without Mama Bloom+, these requests contain only a topic, a title or today's date and the app's language.
• The Sunday letter: Mama Bloom AI now writes your Sunday letter only when you open it: with Mama Bloom+ the whole letter, without Mama Bloom+ its first page. One letter can be written each week, from Sunday to Saturday (Section 6).
• What Mama Bloom remembers: a person you ask Mama Bloom to forget is no longer added back on the iPhone where you asked, not even from a copy of your records, and you can now let Mama Bloom forget everything it remembers. Notes that may no longer fit after a change of your journey stage are set aside, and you decide what happens to them. While saved-context sharing is off, Mama Bloom keeps its notes on this iPhone without using them (Sections 6 and 7).
• Actions in the chat (Mama Bloom+): while saved-context sharing is on, Mama Bloom AI can suggest a breathing exercise, a meditation or an article as a card under its reply, which opens only when you tap it, log a mood check-in when you name your mood, and save an affirmation you want to keep (Sections 6 and 7).
• Messages that may need support: when a message you send to Mama Bloom AI contains words that suggest you may need support, Mama Bloom AI answers it even when you have used up your messages for the day, up to 10 such messages a day, and it does not count against your day (Sections 6 and 7).
• The "Something small for today" widget: a small file on this iPhone lets the widget show its line without opening Mama Bloom (Section 7).
• Corrections: earlier versions said that the device identifier used for rate limiting cannot be linked to your identity and is deleted after 24 hours. Our servers link it to your account, so that deleting your account reaches every iPhone you used, and some records keep it longer, for example those for Apple's App Attest check and for the link to your account for up to 90 days after it was last used, and the record of your install's copy of the bundled wellness corpus until you delete your account (Sections 6 and 7). Before v1.9.9, while saved-context sharing was on, the requests for the For You articles, the daily read, an article's note and question, a section's note and the Morning Check-In note prepared in the morning contained your saved context, and this policy did not describe them; it also did not describe the Morning Check-In note written with your saved context when you open the day's note in the Morning Check-In with Mama Bloom+. Before v1.9.9, while saved-context sharing was on, Mama Bloom AI could also look up more in companion chat for Mama Bloom+ members than Section 6 listed: up to 5 journal entries of up to 300 characters, up to 14 mood check-ins with their notes and up to 7 nights of sleep with their quality, each with its date (Section 6). Before v1.9.10, Delete all my data and Delete My Account left on this iPhone the steps and ticks of your Weekly Checklist, a marker that Mama Bloom had sent you a support note after a PHQ-9 check-in, and the place where you stopped in a story or a meditation; all of this is now deleted with your data (Section 9). Earlier versions also said that your referral data is deleted when you delete your account; our servers did not delete it then, and it expired up to 90 days after it last changed. It is now deleted with your account (Section 10b).
• Also updated: what the opening line of a proactive note contains, and the letters after your first 7, 30 and 100 days (Sections 6 and 9); what Mama Bloom removes from this iPhone when you turn saved-context sharing off (Section 9); the crisis classifier and the AI Transparency Notice now name Anthropic's Claude models without a version number (Section 6 and the Wellness Disclaimer); turning Held on or off is named among the analytics signals (Section 6); the Batch API paragraph no longer names the Sunday letter, which is never sent that way (Section 6); a message you send while your iPhone is offline, Mama Bloom's other widgets, and what a backup carries, now without your profile photo, favourites and Weekly Checklist (Section 7); recovery copies and an older iCloud snapshot that can still hold answers to individual PHQ-9 questions from before v1.9.9 (Sections 3 and 9); which records on our servers are deleted when you delete your account (Sections 7, 9 and 10); the transfer safeguards name Iceland and Norway beside the EU and the UK (Section 8); and Section 13 is now called "Service providers".

Sections 3, 6, 7, 8, 9, 10, 13 and 14, the Wellness Disclaimer and the Terms of Use are updated. The Library and Morning Check-In requests for Mama Bloom+ members now use saved context in a way earlier versions of this policy did not describe, so renewed acknowledgement is required.

What's new in v1.4.9 (6 October 2026): Material update — Apple Health described in full, including two new menopause types; Siri; bringing your records to a new iPhone; and corrections to what earlier versions of this policy said about some AI requests and analytics.

• Apple Health: Section 3 now names every type Mama Bloom asks to read or save. Mama Bloom no longer asks to read menstrual flow, ovulation test results, weight or blood pressure, and no longer saves the word for your mood with a mood check-in. On iOS 27, and only if you allow it in the Perimenopause Guide, for the Guide only, Mama Bloom can show your menopause stage from Apple Health, save a menopause stage you choose, and read bleeding after menopause only to show when it was last logged; none of this is kept in Mama Bloom's own records or sent to AI.
• Siri: you can now add a journal entry through Siri, and Section 6 also describes logging a mood and opening parts of the app through Siri and Shortcuts; what you say to Siri is handled by Apple, and Siri can add entries but never read them back.
• A new iPhone: you can save a copy of your records as a file and bring it into Mama Bloom on a new iPhone; Mama Bloom reads the file only on your iPhone and never sends it to us; the file is not encrypted, and it never brings consents with it (Section 7).
• Mama Bloom AI and your age: Mama Bloom AI is now for users aged 18 and over. Before you use it, Mama Bloom asks whether you are 18 or older, unless the year of birth you entered shows it; until you answer, Mama Bloom AI writes nothing for you. If you are 16 or 17, everything else in Mama Bloom, including crisis support, stays as it is (Sections 2, 3 and 6).
• Weekly Insights: the short Body & Mind observation for Mama Bloom+ members now uses the cloud AI only when you ask for it, and only while Personalised AI saved-context sharing is on; Weekly Insights shows you, before you ask, what would be sent, and after each cloud-written observation you see a receipt (Section 6).
• Corrections: before v1.9.9, when you saved a mood check-in, a journal entry or a thought record, or asked for a deeper insight in Profile, what you had saved, your first name, your journey stage and, after the birth, your baby's name were sent to the cloud AI for a reflection, and for a mood reflection also your last 14 check-ins with their notes, and for a journal reflection your last 5 mood words, even while saved-context sharing was off; before v1.9.7 the same was true of proactive notes, whose requests could also contain dates and names you saved, such as the date of a loss and the name you gave your baby. Before v1.9.9, some tools also sent your first name, your journey stage and related details while saved-context sharing was off, for example your baby's name and growth measurements, pregnancy-loss details, your recent moods with their notes, your diet and allergies or your sleep averages; two of them also sent your age, and in the United States one of them sent such details even while your consent to share consumer health data was off. This policy said such context was sent only while saved-context sharing was on, that your age was never sent, and that proactive notes sent only general categories. It also did not describe that the cloud AI could write the Weekly Insights observation while saved-context sharing was off, that the app sent, and our servers kept, the exact number of days since you installed for analytics, or that some analytics events contained names that can show your journey stage or something about your health, such as the name of a tool you opened. Reflections, proactive notes and the observation now use the cloud AI only while saved-context sharing is on, the observation only at your request, tools add such details only while it is on, and no request contains your age; our servers stopped storing that number on 4 October 2026 and such names on 5 October 2026 (Section 6).
• Anthropic's retention, corrected: earlier versions said in several places that Anthropic may keep AI requests for up to 30 days. Thirty days is the normal case, not a limit: if Anthropic's safety systems flag a request as breaking its Usage Policy, Anthropic can keep the request and the reply for up to 2 years and the safety scores for up to 7 years, and longer where the law requires it (Section 7).
• Our AI provider, corrected: earlier versions named "Anthropic, Inc." in San Francisco and only the USA, and said that, for EU and UK users, Anthropic's Standard Contractual Clauses covered the transfer of your AI requests. Because Mama Bloom is based in the EU, our contract for Mama Bloom AI is with Anthropic's Irish company, Anthropic Ireland, Limited, in Dublin. Anthropic stores your AI requests in the USA, where Anthropic's US companies, such as Anthropic, PBC, can access and process them, and Anthropic may also process a request in other countries. Anthropic's published terms do not say which safeguard covers your requests in the USA and those other countries; we explain what the terms do include (Sections 8 and 13).
• Also updated: how Apple's on-device model is used (never while Mama Bloom AI is off); turning Mama Bloom AI back on after you withdraw Data Consent no longer turns saved-context sharing or analytics back on with it (Section 9); two usage-analytics signals, now named: roughly how many days since you installed (in ranges) and how you opened the app; the full list of what companion chat can send while saved-context sharing is on, and what the reflections, AI-written notifications, letters, memory refresh and requests you make in tools contain (Section 6); how an older iCloud snapshot saved before v1.8 can be recovered once on the iPhone that saved it; a plain statement that your records are excluded from iCloud and computer backups; that Mama Bloom no longer keeps your answers to the individual PHQ-9 questions; the Partner Hub briefings for Mama Bloom+ members; the countries where Mama Bloom is offered (Scope) and the same rights for you in seven European countries outside the EU, the EEA and the UK (Section 9); and the company's postal address (Sections 1 and 15).

The Scope, Sections 1, 2, 2a, 3, 6, 6a, 7, 8, 9, 12, 13 and 15, the Attributions & Licences and the Wellness Disclaimer are updated. Mama Bloom now reads two new kinds of health data, so renewed acknowledgement is required.

What's new in v1.4.8 (6 September 2026): Material conversation-memory update. At the end of a companion conversation (typed or spoken), and only with Personalised AI saved-context sharing on, your own messages may be sent once more to Anthropic so that a short memory note can be written from your own words, under the same terms and retention as the conversation itself. Notes stay in protected storage on this device, are AI-written and can be wrong, show your quoted words on the "What Mama Bloom knows" screen, and can be forgotten there. First names returned by that request are only offered and join the people list only if you tap Remember; a gentle note for a day you named is a single local notification you accept; the first line of a new conversation may refer to what you said last time, composed on your device (Section 6; Sections 3, 7 and 12 updated). This is a new use of your conversation, so renewed acknowledgement is required.
What's new in v1.4.7 (30 August 2026): Editorial corrections and one returning feature. Three passages in this in-app policy (Sections 6 and 9 and the AI Transparency Notice) still described companion chat as sending only your current message; they now match the v1.4.5 conversation update — the recent messages of your current conversation are sent, and saved app context remains gated by Personalised AI. Apple Journaling Suggestions returns to the Journal composer (disclosed in Section 6): the picker runs on your device, and only the moment you explicitly tap — its title and, where present, its photo — enters your entry. If a premium Morning Edition request cannot be completed, Apple's on-device model may now write that edition entirely on your iPhone; nothing additional leaves your device for this fallback. Editorial and additive — no re-acknowledgement is required.

What's new in v1.4.6 (26 August 2026): Account recovery transparency. For email accounts our servers now keep a one-way code (hash) of your account email tied to your account, so a lost device no longer means a lost account; recovery uses a six-digit email code. The address itself is not stored at rest, the link is deleted with your account, and it is never used for marketing. Nothing new leaves your device in chat, no new third parties are involved, and no new consent is required. Non-material change.

What's new in v1.4.5 (25 August 2026): Conversation update. Companion chat now includes the recent messages of your current conversation in every request, so replies can follow the conversation — with Personalised AI saved-context sharing on or off. Saved app context (first name, journey stage, journal excerpts, PHQ band, memory notes) is still included only with Personalised AI turned on. Material change — renewed acknowledgement is requested.

What's new in v1.4.4 (13 August 2026): Material storage and processing update. Current wellness and baby records now remain in protected local storage and are no longer synced to iCloud. On first launch, v1.8 may recover one legacy encrypted iCloud snapshot into protected local storage; it deletes that snapshot only after verifying the local commit. A privacy-preserving iCloud key-value account-recovery marker may remain, but it contains no wellness records. Because those records now stay in protected storage on one iPhone and are excluded from backups, they do not move to a second or replacement phone — export your data before you change, erase, or hand on a device. Voice transcription now requires on-device recognition and has no server fallback. With Personalised AI saved-context sharing off, general companion chat sends only the current message text you submit — no first name, journey stage, or saved history. With sharing on, only the bounded disclosed context may be included. PHQ answers, exact score, and question 9 response never leave the device; only a derived wellbeing band may enter consented saved context. The inactive user-journal bulk-upload path and its controls are not part of v1.8. Material change — renewed acknowledgement is requested.

What's new in v1.4.3 (13 August 2026): Material baby-AI transparency update. Section 6 now names the optional baby context used in companion chat. New Section 6a provides field-level data receipts for the user-initiated, Mama Bloom+ Feeding Q&A and Little Days sleep review, including context-off behaviour, exclusions, recipients and retention. Dedicated baby-AI requests are paused until this update is acknowledged in-app; Personalised AI saved-context sharing remains optional and can be turned off at any time. Material change — renewed acknowledgement is requested.

What's new in v1.4.2 (11 August 2026): Retention wording for AI features corrected: passages that described photo analysis and chat context as discarded immediately or held with zero retention now accurately state Anthropic's standard retention window of up to 30 days. Our actual practice is unchanged — this correction makes the description precise. The Attributions section now records that the Night Orchard's layered sound beds are AI-generated audio works created for Mama Bloom with OpenAI tools. The German TTDSG citation is updated to its 2024 successor, the TDDDG. Editorial change — no new processing purposes, legal bases, or data uses.

What's new in v1.4.1 (20 July 2026): Minimum age to use Mama Bloom updated from 18 to 16, consistent with Art. 8 GDPR digital-consent age in Germany (16); the app's in-flow age attestation and birth-year gate now say 16. COPPA posture unchanged (no data knowingly collected from children under 13). Editorial change — no new processing purposes, legal bases, or data uses.

What's new in v1.4.0 (23 June 2026): Privacy-law coverage was prepared for the United States, Australia, and New Zealand in addition to the EU and UK; this did not itself enable those App Store storefronts. The Scope and Section 9 (Your Rights) now include US state privacy rights (incl. the California CCPA/CPRA and the Washington My Health My Data Act — with a separate Consumer Health Data Privacy Policy for Washington residents), Australian Privacy Act 1988 / APP rights, and New Zealand Privacy Act 2020 / IPP rights, with the corresponding regulators added. We reaffirm that we never sell or share your personal data.

What's new in v1.3.5 (10 June 2026): Section 6 now explicitly lists your first name and country among the data sent to Anthropic when you chat with Mama Bloom (both were already used solely for addressing you and for localised signposting); your age is no longer sent to the AI at all.

What was new in v1.3.4 (4 June 2026): Clarified that the optional Anthropic Files journal-upload feature is currently inactive — no journal corpus is uploaded to Anthropic today (the feature is gated off in-app). Added a note that some guided audio (for example certain hypnobirthing and sleep-coach narrations) was produced with ElevenLabs and is bundled offline, with no user data sent to ElevenLabs. Trimmed the Terms of Use to the EU+UK scope (removed legacy China/Japan/Korea clauses). Added explicit Art. 9 GDPR health-data consent wording at the sign-up screen, a persistent "AI" indicator in the companion chat (EU AI Act Art. 50), and a clearer note that fertility-window figures are estimates for awareness — not a contraceptive or fertility method. Removed the reference to the discontinued EU Online Dispute Resolution platform from the Impressum. The Apple Journaling Suggestions disclosure was removed from Section 6 — that integration was withdrawn in build 57 and was not part of the shipping app at the time.

What's new in v1.3.3 (28 May 2026): Support ticket on-device cache disclosure (build 55+) — a rolling list of your last 20 ticket references (id, subject line, category, time) is now persisted on the device so you can find the ticket reference after the support sheet closes; the message body itself is never cached, it is included in your GDPR Art. 15 / 20 data export and erased on Art. 17 account deletion (see Section 7). App Attest staged-rollout date refresh (build 55) — the temporary App Attest assertion-enforcement kill-switch has been extended from DISABLE_ATTEST_UNTIL = 2026-05-27T23:59:59Z to 2026-08-01T23:59:59Z; the controls actually active in that release were TLS, SPKI pinning and app-secret request signing; HMAC body-hash enforcement was not active and is not claimed here.

What's new in v1.3.2 (21 May 2026): Dedicated privacy contact email privacy@mamabloom.app introduced (replaces support@mamabloom.app for data-protection inquiries only; general in-app support still routes to support@). Controller telephone +49 152 5826 2078 now published alongside the email contact per Art. 13(1)(a) GDPR best practice. Privacy Policy, RoPA, TOM, DPIA and the Prighter UK Representative dashboard are now aligned on the new contact channel.

What's new in v1.3.1 (17 May 2026): Named Upstash, Inc. (USA) as a sub-processor in Section 6 alongside Anthropic, Vercel, Apple and Resend. The Vercel KV layer that holds rate-limit counters, idempotency keys, App Attest challenges and consented analytics aggregates is operated on Upstash Redis; Art. 13(1)(e) / 14(1)(e) GDPR (full recipient list) is now satisfied. SCCs + UK IDTA already in force.

What's new in v1.3 (11 May 2026): Geographic scope tightened to EU + UK only — previous version addressed ~30 international jurisdictions. Added Section 1a (UK Representative — Prighter Group). Added explicit DPA 2018 + DUAA 2025 + BDSG + TTDSG statutory references. Removed former Sections 10–13 (CCPA, APPI, PIPA, other jurisdictions). Company status updated (Mama Bloom UG now registered HRB 47918, AG Dresden).

Previous versions: v1.3.2 (21 May 2026), v1.3.1 (17 May 2026), v1.3 (11 May 2026), v1.2 (18 April 2026).

1. Who We Are#

Current app operator: Mama Bloom UG (haftungsbeschränkt).
Oskarstrasse 14, 01219 Dresden, Germany.
Registered in Germany — HRB 47918, Amtsgericht Dresden.
The company named above is the controller responsible for your personal data within the meaning of Art. 4(7) GDPR. It is represented by its managing director; the details the law requires are in the Impressum (Profile → Legal & Safety → Impressum).
Contact: support@mamabloom.app

We have not appointed a Data Protection Officer. For all data protection inquiries, contact privacy@mamabloom.app (or telephone +49 152 5826 2078).

1a. Our Representative in the United Kingdom#

We value your privacy and your rights as a data subject and have therefore appointed Prighter Group with its local partners as our privacy representative and your point of contact for the following regions:

• United Kingdom (UK)

Prighter gives you an easy way to exercise your privacy-related rights (e.g. requests to access or erase personal data). If you want to contact us via our representative Prighter, or make use of your data subject rights, please visit:

https://app.prighter.com/portal/19873577792

powered by Prighter

UK data subjects retain the right to lodge a complaint directly with the Information Commissioner's Office (ICO) at ico.org.uk.

2. Age Restriction#

This app is intended solely for users aged 16 and over. We do not knowingly collect personal information from anyone under 16. In compliance with the US Children's Online Privacy Protection Act (COPPA), we do not knowingly collect data from children under 13. If you believe someone under 16 has used the app, contact privacy@mamabloom.app and we will promptly delete their data.

Mama Bloom AI is for users aged 18 and over. It covers the companion conversation, typed or spoken, and every text that Mama Bloom AI writes for you, such as reflections, letters, notes and answers in tools (Sections 6 and 6a). Before you use it, Mama Bloom asks whether you are 18 or older, unless the year of birth you entered already shows it; until you answer, Mama Bloom AI writes nothing for you. If you tell Mama Bloom that you are under 18, or the year of birth you entered shows it, Mama Bloom AI stays off for you: Mama Bloom makes none of the AI requests for you that Sections 6 and 6a describe, and does not use Apple's on-device model for you. Everything else in the app, including crisis support, works as before. Your answer and, if you entered it, your year of birth are kept on your device, used only for these age limits, never sent to us or to any AI, and deleted when you delete your account. You can change your answer, or the year of birth you entered, in Profile → Privacy & Data.

2a. Children's data#

Some features of Mama Bloom let you log information about your baby or child — name, date of birth, feeding, sleep, growth measurements. Under GDPR, a child is a separate data subject represented by their parent or legal guardian. By using these features you act as your baby's representative. Saved baby records stay in protected local storage on your device. They are not synced to iCloud. A record-free iCloud account-recovery marker and the one-way legacy snapshot recovery described in Section 7 are separate from these current records. Apart from a copy of your records that you save yourself (Section 7), your baby's details leave your device only in the AI requests described in Sections 6 and 6a: the optional companion-chat context, the reflections and other texts Mama Bloom AI writes for you, which can include your baby's name and, in some of them, age or date of birth, and the limited, user-initiated baby-tool requests. Feeding Q&A sends the question you type; if Personalised AI saved-context sharing is on, it may also send approximate age and up to five recent structured feeding summaries. The Little Days AI sleep review is available only with Mama Bloom+ and sends approximate age and at most the latest five completed sleep start/duration/wake summaries only after saved-context opt-in and your request. The app does not automatically add a saved baby name or saved notes to either request; anything you type into Feeding Q&A is sent as part of that question. You can delete a specific baby's saved data from Profile → Privacy & Data at any time, and the full account-delete flow removes everything we control, subject to the provider retention periods in Section 6a. Mama Bloom does not collect data directly from children under 13 for any purpose, and nothing about your baby is used for advertising or sold.

3. What Data We Collect#

Data you provide:

• First name (your choice)
• Email address (account creation)
• Your year of birth, if you entered it, and your answer to whether you are 18 or older: kept on your device and used only for the age limits in Section 2
• Journey stage and app preferences
• Mood logs, journal entries, symptom records
• PHQ-9 results: the total score of each check-in and, for your latest check-in only, whether you answered question 9 with anything other than "Not at all" (stored on this device and included in a copy you save yourself). Mama Bloom does not keep your answers to the individual questions. One exception, which earlier versions of this policy did not mention (new in v1.4.10): a recovery copy, which Mama Bloom keeps on this iPhone to restore your records after a storage error, can still hold answers you gave before version 1.9.9, and so can the older snapshot that a version of Mama Bloom before v1.8 may have saved in your iCloud (Section 7). Recovery copies are in the protected storage that backups do not carry. Mama Bloom does not show those answers or bring them back into your records, and recovery copies are deleted when you delete your account. The score and the question 9 response are never sent to AI. If Personalised AI saved-context sharing is enabled, only a derived wellbeing band may be included
• Baby information you choose to enter
• Menstrual cycle and fertility information (where you choose to track these)
• Weight, blood pressure and glucose readings (where you choose to track these)
• Letters to baby, appointments, and vaccine records you create in the app

Automatically collected:

• Account recovery link (email accounts): after you sign in, our servers keep a one-way code (hash) of your account email tied to your account, so you can recover the account by email if this device is ever lost. The address itself is not stored at rest, the link is deleted with your account, and it is never used for marketing
• App-generated device identifier (stored in Keychain; used for rate limiting, security, and consented analytics)
• Country-level region derived from your device locale, or a region you choose within the support screen, to show relevant crisis numbers. Mama Bloom does not request or store precise GPS location for this feature
• Subscription status (via Apple — we never see payment details)
• Minimal pseudonymous usage analytics after consent (for example feature opened, onboarding completed, subscription state, the day band (how many days since this install first opened, in ranges such as 2 to 6 days), the way the app was opened, and crash / diagnostic events)
• Voice transcription in Mama Bloom's own voice features (only when Apple Speech Recognition supports on-device recognition for the selected language; there is no server fallback and voice input is unavailable otherwise. Audio never leaves the device. Resulting text is saved locally for journalling or, when submitted in chat, follows the selected chat privacy mode. Siri is Apple's own service; see "Siri and Shortcuts" in Section 6)
• Photo Label inputs (Mama Bloom+ only, and only after you explicitly confirm analysis): the selected photo and, only if you consent, minimal journey-stage and dietary context. The free Food Safety Index is static and sends no photo. Our proxy does not retain the photo; Anthropic normally deletes standard commercial API inputs within 30 days (Section 7 names the exceptions) and does not use them to train models; see Section 6
• Named-people list (first name + role + mention count extracted from your chat/journal by Apple's on-device NLTagger; used only in the AI context sharing system prompt if that toggle is on)
• Conversation memory notes (short AI-written notes made from your own messages at the end of a companion conversation, only with Personalised AI saved-context sharing on; stored in protected storage on this device with your quoted words and their date; first names offered from those conversations join the people list only after you tap Remember; a day you chose to be reminded of)

We do not collect advertising identifiers, precise GPS, or cross-app tracking data.

Apple Health (only with your permission; each type is a separate permission in iOS, and you can change it for Mama Bloom in the Health app):

• Mama Bloom asks to read: sleep, steps, resting heart rate, mindful minutes and workouts.
• Mama Bloom can save to Apple Health what you log in the app: sleep diary nights, period days, weight and blood pressure readings, and mindful minutes from breathing and meditation sessions. A mood check-in you log for today is also saved to Apple Health as one mindful minute, without the word for your mood. Mood check-ins saved by versions before v1.9.9 carry the English word for the mood, which other apps you allow to read mindful minutes can see; you can delete those entries in the Health app.
• On iOS 27, only in the Perimenopause Guide and with its own permission: Mama Bloom can show your menopause stage from Apple Health and save a menopause stage that you choose in the Guide, and it reads bleeding after menopause only to show when it was last logged. Mama Bloom never keeps these two in its own records, never sends them to AI or to our servers, never counts them in analytics, and never puts them in your export. Connecting Apple Health in the Guide lets Mama Bloom use Apple Health in the Guide only; it does not turn on Apple Health anywhere else in Mama Bloom. If you are in the United States, the Guide can connect only while your consent to the collection of consumer health data is on (Profile → Consumer Health Data). You can withdraw this at any time in the Guide, where you connected it, or in Profile → Privacy & Data. Turning off HealthKit sync in Profile → Privacy & Data also withdraws it and stops Mama Bloom reading from and saving to Apple Health everywhere.

Mama Bloom no longer asks to read menstrual flow, ovulation test results, weight or blood pressure, because it does not use them. A permission you gave earlier stays in the Health app until you change it there; Mama Bloom does not read with it.

What Mama Bloom reads from Apple Health is used on your iPhone. We do not store it on our servers. Sleep nights you import are kept in your sleep diary, where they count like nights you enter yourself. Figures worked out from your records, including your Apple Health data, such as a weekly sleep or step average, can be part of the AI requests that Section 6 and the AI Transparency Notice (in the Wellness Disclaimer, Profile → Legal & Safety) describe; the Weekly Insights observation described in Section 6 sends such figures only while Personalised AI saved-context sharing is on. Your data export includes what Mama Bloom has read from Apple Health, such as imported sleep nights, recent steps, resting heart rate and workouts, but never the two menopause types above.

4. Legal Basis for Processing#

Under the UK GDPR (as supplemented by the Data Protection Act 2018 and amended by the Data (Use and Access) Act 2025) and the EU GDPR (Regulation 2016/679):

UK/EU GDPR and equivalent jurisdictions:

• Consent (Art. 6(1)(a) / Art. 9(2)(a) for health data) — AI sharing and optional features
• Contract (Art. 6(1)(b)) — providing the subscription service
• Legitimate interests (Art. 6(1)(f)) — security, fraud prevention
• Legal obligation (Art. 6(1)(c)) — regulatory compliance

5. How We Use Your Data#

• Provide and personalise app features
• Keep current wellness and baby records in protected local storage; recover and then delete one legacy encrypted iCloud snapshot after a verified local import, while retaining only a record-free account-recovery marker where needed
• Process subscription payments via Apple
• Show crisis support contacts based on the device locale or a region you choose within that screen
• Send optional push notifications

We do not use your data for advertising. We do not sell, rent, or share your data with third parties for their own purposes.

6. AI and Third-Party Services#

Mama Bloom AI is for users aged 18 and over (Section 2). If you have told Mama Bloom that you are under 18, or the year of birth you entered shows it, Mama Bloom makes none of the AI requests for you that this section and Section 6a describe, and does not use Apple's on-device model for you; the same applies while Mama Bloom is waiting for your answer to whether you are 18 or older.

Mama Bloom AI — what leaves your device in general companion chat: with Personalised AI saved-context sharing off, the user content sent to Anthropic (USA) through our secure proxy for a turn is the recent messages of your current conversation — the thread you typed and its replies — so replies can follow the conversation. Your first name, country, journey stage, saved conversation summaries from earlier sessions, journal excerpts, PHQ context, people list, and other saved app records are not included. With saved-context sharing on, the current conversation and this bounded context may be sent: your chosen first name and, if you saved it, your partner's first name; country for localised support signposting; journey stage (in pregnancy with the trimester, when trying to conceive with roughly how long you have been trying); what you told Mama Bloom you need most, the concerns you flagged, the time of day and tone you prefer, and the mode you picked for the conversation; your last 7 mood check-ins with the emotions you tagged and, for those from the last 3 days, the notes you wrote (each up to 200 characters); short summaries of your mood patterns worked out on your iPhone (for example whether you have been checking in regularly or late at night), which can include your lowest and highest recent check-in, each with a score your iPhone worked out from the words of its note and up to 60 characters of that note; symptoms you logged recently, with a word for how strong they mostly were, never a number; sleep averages, step counts, resting heart rate and workout summaries; and, where relevant: fertility-tracking information (such as cycle length, recent temperature and ovulation-test results, and fertility treatment), menstrual status, HRT status and perimenopause symptoms, pregnancy-loss details including a name you gave your baby, whether you noted a previous mental-health history or limited support around you, your food preferences and allergies, an upcoming date that matters (your due date, your baby's monthly birthday or the anniversary of a loss) when it is close, a short summary of your patterns over recent weeks, up to two short journal excerpts of up to 90 characters each and the main themes, overall tone and length of your recent journal entries and how long since you last wrote, worked out on your iPhone, due date and, if recorded, baby name, approximate age, birth type and feeding method, a compact name/role/mention-count people list, short summaries of up to ten earlier conversations and one short digest of older ones, with their themes and the feelings you expressed, your memory notes (see "Conversation memory" below), how many replies in this conversation you marked as helpful or not helpful, the time of day and roughly how long since you last opened Mama Bloom, and only a derived PHQ wellbeing band. PHQ answers, the exact score, and the question 9 response are never sent to us or to any AI. Your full name, email address, account credentials, and age are never sent to Anthropic. Our contract for Mama Bloom AI is with Anthropic Ireland, Limited (Dublin, Ireland), which processes this traffic under Anthropic's standard published Data Processing Addendum (anthropic.com/legal/data-processing-addendum). Anthropic stores this traffic in the USA; Section 8 says who can process it there, where else it can be processed, and which safeguards Anthropic's terms include. By using Anthropic's API on commercial terms, Mama Bloom is bound by these published terms as the Art. 28 GDPR processor agreement.
Conversation memory (added in v1.4.8) — what is sent: when a companion conversation ends (typed or spoken), and only while Personalised AI saved-context sharing is on, your own messages from that conversation may be sent once more through the same secure proxy to Anthropic (USA) so that a short memory note can be written from your own words — for example that a family visit is coming up, or what helped you. Very short conversations are skipped. This request is handled under the same terms and retention as the conversation itself (standard commercial API data, normally deleted within 30 days, not used for training; Section 7 names the exceptions). The same request also returns first names you mentioned; each is only offered to you, and joins the people list only if you tap Remember — Not now leaves it out. This is in addition to the on-device name extraction described below.
Where it lives: each note is kept in protected storage on this device, never on our servers. The note itself is written by the AI and can be wrong; that is why the screen "What Mama Bloom knows" in your Profile shows your own quoted words and their date beneath it. Notes are included in later companion requests only while saved-context sharing is on. If you also say yes to a gentle note for a day you named, one local notification is scheduled on this device and nothing is sent for it. The first line of a new conversation may refer to what you told Mama Bloom last time; it is composed on your device from these notes and does not quote your words in the conversation.
Your controls: on that screen you can forget any note at any time. You can also forget a person: Mama Bloom then does not add that name back from anything you have already said or written, and cancels any gentle note about them. The name stays wherever it already appears, for example in your conversation, your journal or a memory note. Or you can forget everything Mama Bloom remembers: every note, conversation summary and name it keeps, with any day you mentioned for someone and its gentle note; your conversation, your journal and your check-ins stay. To keep a forgotten name from coming back, Mama Bloom keeps only a one-way code of that name on this iPhone. Notes, conversation summaries and days you mentioned for someone that may no longer fit where you are now, for example after you change your journey stage, are set aside: Mama Bloom keeps them on this iPhone without using them, and on that screen you can see them, use them again or let Mama Bloom forget them; set-aside notes still fade like any other note. Turning saved-context sharing off stops Mama Bloom AI from writing new notes and stops existing notes from being used or sent; Mama Bloom keeps them on this iPhone, and while sharing is off it still updates, without using them, the few notes it works out on this iPhone from your check-ins, the dates of your journal entries and the dates in your profile. Deleting your account deletes all of this.

Actions in the chat (Mama Bloom+; new in v1.4.10): with Mama Bloom+, and only while Personalised AI saved-context sharing is on, Mama Bloom AI can do a few things in companion chat besides writing its reply. It can look up your recent mood check-ins, journal excerpts and sleep averages, never more than the context above contains. It can suggest a breathing exercise, a meditation or an article as a card under its reply; the card opens over your conversation only when you tap it, and no card is shown in voice mode. It can log a mood check-in for you when you name your mood or ask it to, saved like any check-in, and add an affirmation you want to keep to your saved affirmations. What it looks up and what it has done are sent to Anthropic as part of the conversation. Each time it uses one of these, our server keeps a record that can be used only once, for up to 5 minutes, so that sending the result back does not count as a new message; the record holds your install identifier and your account identifier, the identifier of that step and a count of up to three, and it is deleted as soon as it is used (Section 7).

Anthropic Files — bundled wellness corpus (always on): Mama Bloom uploads its own library of wellness articles, exercises, and MamaTips to Anthropic Files in advance so Claude can cite them accurately when you ask questions. This corpus contains only Mama Bloom's curated content — no user data, no journal text, nothing you wrote. It behaves like a bookshelf Claude can reach for.

User journal files: v1.8 does not bulk-upload a user journal corpus to Anthropic Files and does not show a journal-file upload or deletion control. Journal text is sent to AI only in these requests, and only while saved-context sharing is on: up to two short excerpts in companion chat; up to four excerpts of up to 100 characters each when you ask Mama Bloom to refresh its notes about you; the first 500 characters of a journal entry you save, for its reflection (Mama Bloom+); and the first 100 characters of your latest entry and words you wrote more than once, in a Morning Edition you ask for.

Apple Journaling Suggestions (on-device, build 85+): the Journal composer offers "Start from a moment" — Apple's JournalingSuggestionsPicker runs on your device and derives suggestion candidates from system signals (photos you've taken, workouts, places). Mama Bloom never receives the raw suggestion data and never sees the underlying signals. Only the moment you explicitly tap is handed to the app: its title is read into the entry text, and a photo from that moment — if it has one and your entry has none yet — fills the entry's photo slot, stored on your device like any journal photo. Nothing about this feature leaves your iPhone; Apple's processing of the underlying signals is subject to Apple's Privacy Policy.

Siri and Shortcuts (new section in v1.4.9): you can ask Siri, or use the Shortcuts app, to add an entry to your Mama Bloom journal, log a mood, or open parts of the app, such as a meditation. What you say to Siri is processed by Apple under Apple's own terms and privacy policy, not by Mama Bloom; your Siri settings decide how Apple handles it. Siri can add entries but cannot read them back or search your journal: Mama Bloom returns only a short reply saying whether the entry was saved, never the text of any entry. Siri may speak the reply aloud, depending on your Siri settings, so people nearby may hear it; it never repeats your words.
What Mama Bloom receives: only the words of your entry (a title you give becomes its first line), a mood you name, or the name of the meditation or story you ask for; if a date, place or photo is passed along with it, Mama Bloom does not store it. A mood logged this way is saved like any check-in, including to Apple Health if you allowed it.
When an entry is saved: adding an entry only works when your iPhone is unlocked, you are signed in to Mama Bloom, and the consent you gave when you set up Mama Bloom is in place (turning off Mama Bloom AI with Withdraw Data Consent does not change this). If you are signed out, or that consent is not in place, Mama Bloom saves nothing. Mama Bloom first keeps the entry in an encrypted inbox on this iPhone and adds it to your journal the next time you open Mama Bloom signed in to the same account, or at once if it is already open; it gets the date it reaches your journal, not the date you added it through Siri. From then on it is stored and protected like an entry you type. Entries still waiting in the inbox are included when you export your data and are deleted with your account. Mama Bloom writes no AI reflection for an entry added through Siri, and nothing in it is sent to our servers or to Anthropic when you add it; afterwards it follows the same rules as your other journal entries (see above).
If you need support: if an entry contains words that suggest you may need urgent support, and you are signed in with that consent in place, Mama Bloom keeps a small note on this iPhone that support should be shown to you. The note holds only the time it was made, and lets Mama Bloom show you places you can turn to when you next open it, even if the entry itself could not be saved; the note is removed once Mama Bloom has shown you those places, and with your account. If nothing could be saved because you are signed out or that consent is not in place, and your words suggest you may need urgent support, Mama Bloom's reply also shows a few places you can turn to.
Suggestions, Spotlight and turning Siri off: when you do some things in Mama Bloom (for example do a mood check-in, write in your journal or finish a meditation), Mama Bloom tells iOS, at most once a day for each kind of action, so iOS can suggest the matching shortcut, for example on your Lock Screen. These suggestions never contain your mood or what you wrote. Spotlight search on your iPhone finds only Mama Bloom's own articles, meditations and tools, never what you write. You can turn off Siri for Mama Bloom in iOS Settings → Apps → Mama Bloom → Siri.

Food Safety Index and Photo Label: the free Food Safety Index is static, sourced content stored in the app; it does not send a photo or use cloud AI. Photo Label is available only with Mama Bloom+. After you explicitly confirm analysis, the selected photo and, only if you consent, minimal journey-stage and dietary context are sent over TLS through our proxy to a vision-capable Claude model. The proxy does not log image bytes or prompt content. It records an 8-character SHA-256 hash prefix and limited operational metadata (payload size, media type, request ID, device-scoped rate-limit identifier, and outcome) for security, rate limiting, and diagnostics, and does not retain the photo. Anthropic handles the photo and consented context as standard commercial API inputs, normally deletes them within 30 days (Section 7 names the exceptions), and does not use them to train models. Results may be incomplete or wrong and do not replace the package label or professional allergy or medical advice.

Voice-first mode: Apple Speech Recognition is used only when on-device recognition is supported for the selected language. There is no Apple-server fallback. If on-device recognition is unavailable, voice input is unavailable. Audio never leaves the device. Only the transcribed text follows the same saved-context privacy mode described above.

Parallel crisis classifier: alongside each of your chat messages, Anthropic's Claude Haiku model receives the same message to check for language that may indicate you need urgent human support. The classification result is never stored as chat history. Consented analytics may count that a check ran; our servers do not keep its severity or category, and no message text is attached. If the model declines to check a message, Mama Bloom shows you places you can turn to.

Messages that may need support (new in v1.4.10): when a message you send to Mama Bloom AI contains words that suggest you may need support, Mama Bloom AI answers it even when you have used up your messages for the day, and it does not count against your day. The request tells our server so; our server then counts it in a separate daily count instead of your daily messages, for up to 10 such messages a day, with or without Mama Bloom+, after which a message counts as usual. Our server keeps only that number, under a neutral name; its logs treat such a request like any other and never note that it was counted this way (Section 7).

Reflections after you save something: Mama Bloom AI writes a short reflection when you save a mood check-in on Home or ask for a deeper insight in Profile, when you finish a thought record and, for Mama Bloom+ members, when you save a journal entry. If what you have just saved contains words that suggest you may need urgent support, nothing is sent for its reflection. With Personalised AI saved-context sharing off, Apple's on-device model writes the reflection on your iPhone where it can, otherwise there is none, and nothing is sent for it. With saved-context sharing on, the request goes through our secure proxy to Anthropic (USA) and contains what you just saved (the mood word and note of that check-in, the first 500 characters of that journal entry and its mood, or the situation, the thoughts and the feeling of that thought record and how much the feeling eased), your first name, your journey stage and, after the birth, your baby's name; the mood reflection also contains your last 14 mood check-ins with their notes (each up to 200 characters), and the journal reflection your last 5 mood words. It can also contain this short personal context: what you told Mama Bloom you need most and when you prefer support, your country, pregnancy-loss details including a name you gave your baby, up to five people from your people list, short summaries of up to three earlier conversations, the tone you chose and, after a week or more away, how many days it has been. Anthropic handles these requests as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions) and does not use them to train models.

Texts Mama Bloom AI prepares without you asking, and a memory refresh (your information is used in them only while Personalised AI saved-context sharing is on): (1) For the notifications you turned on in Profile → Tools & Reminders → Notifications, Mama Bloom AI can write the words of a daily check-in or morning note, a weekly note, a note after several hard days, a goodnight note and a note about your week. Your Lock Screen shows a fixed, general line for these; the AI-written words appear when you open Mama Bloom. Depending on the note, these requests contain your journey stage, your baby's name, your recent mood words or whether your week was mostly good or mostly hard, up to two concerns you flagged, your sleep average, how many hard days you had, whether you wrote in your journal or have been checking in regularly, and, for the goodnight note and the note about your week, your first name. (2) With Allow proactive notes on, Mama Bloom AI can write the first line Mama Bloom says when you open a proactive note; that request contains your journey stage, your first name, what the note is about (for example the anniversary of a loss, your due date coming close, your baby's first month or first birthday, a day of the week that has often been heavier for you, a few hard days, a run of broken nights or coming back after some time away) and, for a note about a loss or about your baby, the name you gave the baby; never a date or a count. For a proactive note about your recent days (for example after several hard days or poor nights, after a day away, shortly before a loss anniversary or a milestone of your baby, or after your first days with Mama Bloom), Mama Bloom AI can write the words of the note, which appear when you open Mama Bloom; your Lock Screen shows only a fixed line written in advance. That request contains your journey stage and, depending on the note, how many hard days or poor nights you had, which milestone your baby reaches, your most frequent recent moods or how many entries you have made, never a name. (3) A letter from Mama Bloom after your first 7, 30 and 100 days is composed on your iPhone from fixed sentences, and nothing is sent for it. While saved-context sharing is on, Mama Bloom AI can write it instead when you open it, from your first name, when you usually check in and which part of Mama Bloom you use most; that text is kept on this iPhone and removed when you turn saved-context sharing off. The Sunday letter has its own paragraph below. (4) When you ask Mama Bloom to refresh its notes about you, the request can contain up to 5 of your recent mood notes (each up to 80 characters), up to 4 journal excerpts (each up to 100 characters), the emotions you tagged, how many hard days you had and your weekly summaries. No PHQ answers, exact PHQ score or question 9 response is sent for any of them. They go through our secure proxy to Anthropic (USA), which handles them as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions) and does not use them to train models.

The Sunday letter (changed in v1.4.10): Mama Bloom AI writes your Sunday letter only when you open it, never before. With Mama Bloom+ you get the whole letter; without Mama Bloom+, its first page. Nothing is written while Mama Bloom is waiting for your answer to whether you are 18 or older, if you are under 18, or while Mama Bloom AI is off. One letter can be written each week, from Sunday to Saturday, for your account on this iPhone; a letter that could not be finished does not count. With Personalised AI saved-context sharing on, the request goes through our secure proxy to Anthropic (USA) and contains your first name, your journey stage, your baby's name and age, your due date, your last 7 mood check-ins with their notes, how many hard days you had, your sleep average and whether you are breastfeeding on very little sleep, upcoming dates that matter, your memory notes, recent conversation themes and, for the whole letter, last week's summary. With saved-context sharing off, Mama Bloom AI writes a general letter or first page that uses none of your information. Every letter request also contains the day of the week and the time of day (morning, afternoon, evening or night) from your iPhone's clock, whether saved-context sharing is on or off. To allow only one letter a week on each iPhone, whichever account is signed in on it, the request also carries the date of that week's Sunday, and our servers keep a mark for that week with your install identifier, which expires by itself after 9 days (Section 7). Anthropic handles these requests as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions) and does not use them to train models.

Weekly Insights — the "Body & Mind" observation (Mama Bloom+; changed in v1.4.9): Weekly Insights can show a short observation that connects your week's body and mood figures. Mama Bloom first asks Apple's on-device model to write it on your iPhone; nothing is sent for that. Only if the on-device model cannot write it does Mama Bloom ask its cloud AI instead, and only when you ask for it and while all three are on: Mama Bloom AI (Profile → Withdraw Data Consent turns it off), Mama Bloom+, and Personalised AI saved-context sharing. In the United States, your consent to share consumer health data must also be on. That request goes through our secure proxy to Anthropic (USA) and contains only your average daily steps over the last 7 days and your average sleep this week, up to five mood words from your check-ins, the average of your latest resting-heart-rate readings, the number and total minutes of your workouts in the last 7 days, and the app's language (steps, resting heart rate and workouts come from Apple Health; sleep comes from your sleep diary) — never mood notes, journal text, your name, your journey stage or your wellbeing band. Weekly Insights shows you, before you ask, what would be sent, and each time the cloud AI writes the observation, it shows you a receipt of what was sent. With saved-context sharing off, nothing is sent for this observation, and Mama Bloom shows your week without a cloud-written observation. Before v1.9.9, Mama Bloom could ask its cloud AI to write this observation for Mama Bloom+ members whenever Mama Bloom AI was on, also with saved-context sharing off; the request held the same kinds of figures and mood words, and this policy did not describe it. Anthropic handles this request as standard commercial API data, normally deletes it within 30 days (Section 7 names the exceptions), and does not use it to train models.

Partner Hub briefings (Mama Bloom+): when you open Partner Hub, Mama Bloom AI can write the weekly partner briefing and the daily partner action, only while Mama Bloom AI, Mama Bloom+ and Personalised AI saved-context sharing are all on; in the United States, your consent to share consumer health data must also be on. The weekly briefing request contains only your journey stage, the mood words of your last 7 check-ins, the 3 emotions you tagged most often in them, the average length of your last 7 recorded nights and the app's language. The daily action request contains only your journey stage, the mood words of your last 3 check-ins, the length of your most recently recorded night and the app's language. Neither contains mood notes, journal text, your name or your partner's name. Both go through our secure proxy to Anthropic (USA), which handles them as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions) and does not use them to train models. With saved-context sharing off, nothing is sent for them.

The Library and the Morning Check-In (changed in v1.4.10): when you open the Library, Mama Bloom AI writes your For You articles and, with Mama Bloom+, your daily read. With Mama Bloom+, it can also write a short note and a reflection question when you open an article, and a short note when you open a section of the Library. With Mama Bloom+, Mama Bloom AI writes the day's note when you tap to open it in the Morning Check-In; if a Morning Check-In note was written for you in the last 7 days, Mama Bloom also prepares it, without you asking, when you open Mama Bloom between 5:00 and 12:00, so it is ready when you open the Morning Check-In. Each request goes through our secure proxy to Anthropic (USA). Without Mama Bloom+, or while Personalised AI saved-context sharing is off, a Library request contains only a topic, the title of the article or the name of the section and the app's language; while saved-context sharing is off, the Morning Check-In request contains only today's date and the app's language. With Mama Bloom+ and saved-context sharing on, these requests can also contain: for the For You articles and the daily read, your first name, your journey stage (in pregnancy with the trimester), how many weeks are left until your due date, after the birth your baby's name and roughly how old your baby is, your last 7 mood check-ins with their notes (each up to 100 characters) and how many of your recent days were hard, your average sleep over your last 5 recorded nights, after the birth your birth type and feeding method, up to four concerns you flagged, a derived wellbeing band, whether you noted limited partner or family support and whether you noted a previous mental-health history; for an article's note, your first name, your journey stage, after the birth your baby's name, your average sleep over your last 3 recorded nights, your last 7 mood check-ins with their notes (each up to 100 characters) and up to three concerns; for a reflection question, your first name and your journey stage; for a section's note, your first name, your journey stage, the mood words of your last 4 check-ins and up to two concerns; for the Morning Check-In note, your first name, your journey stage (in pregnancy with the trimester), after the birth your baby's name, what you told Mama Bloom you need most and when you prefer support, the mood words of your check-ins from the last 3 days, and how long you slept and how often you woke in your last recorded night. What Mama Bloom AI writes for you here is kept on this iPhone. No PHQ answers, exact PHQ score or question 9 response is sent for any of them. In the United States, your consent to share consumer health data must also be on. Anthropic handles these requests as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions) and does not use them to train models.

Requests you make in tools (changed in v1.4.9): when you ask for something in a Mama Bloom tool, for example a sleep story, a sound suggestion in White Noise (if Apple's on-device model cannot make one), a routine from the Sleep Coach, your weekly checklist, a draft letter to your baby, or an answer about nutrition, weight, your baby's growth or an appointment, the request goes through our secure proxy to Anthropic (USA) and contains what you asked for or typed. Only while Personalised AI saved-context sharing is on can it also contain your first name, your journey stage (with the trimester or week of pregnancy) and details the tool needs, such as your baby's name and age in months, or your average sleep and how often you woke in your last five recorded nights. Tools whose answer is built from your records, such as Mama Bloom's Growth Note in the Growth Chart, Mama Bloom Patterns, "Read with Mama Bloom" in articles and the Nutrition Advice guide, send nothing while saved-context sharing is off and show you, before you ask, what would be sent. No request contains your age. Before v1.9.9, these tools also sent your first name, your journey stage and such details while saved-context sharing was off, some without you asking, for example as soon as you opened the tool or saved a measurement in the Growth Chart; two also sent your age (Nutrition Advice and Letter to Baby), and in the United States "Read with Mama Bloom" sent such details even while your consent to share consumer health data was off. This policy said otherwise. Anthropic handles these requests as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions) and does not use them to train models.

Named-people memory (on-device): Mama Bloom uses Apple's NLTagger on-device to extract first names you've mentioned in chat or journal and scores the sentiment of mentions locally. Only a compact list (name, role such as partner/mother/doula, mention count) is injected into the system prompt sent to Anthropic when AI context sharing is enabled — never the sentences the names appeared in. If you disable AI context sharing, the people list stays on your device and is not sent anywhere.

Cost and token telemetry: our proxy reports usage counts (input, output, and cache tokens) back to the app so we can show you approximate cost transparency and improve caching. Aggregation happens on your device. Only categorical analytics events (for example "AI turn cost in cents for a given model" and "cache hit-rate percentage") are sent to our analytics endpoint after your consent. No prompts, no replies, no PII are included in these events.

Anthropic Batch API: some longer-form jobs (the Daily Pack and a weekly memory pass) are submitted via Anthropic's native Batch API, which processes requests within 24 hours at a lower cost. The data flow is identical to the corresponding synchronous request; v1.8 does not attach a user-journal file reference. The only difference is the delivery schedule. If a Daily Pack request cannot be completed, Apple's on-device model may compose that edition entirely on your iPhone; nothing additional leaves your device for this fallback, and the page is labelled "Written on this iPhone".

Structured AI outputs: certain short classification calls (for example the memory-note classifier) ask Haiku for a strict JSON response via Anthropic's tool-use feature. This is a technical reliability improvement and does not change what data is sent.

Infrastructure caching: our proxy applies Anthropic's ephemeral cache (cache_control with ttl=1h) to stable prompt content (for example system prompts and bundled-corpus references) to reduce latency and cost. Cached content is held by Anthropic's inference infrastructure for up to one hour and is scoped to the request context; this is a server-side performance optimisation with no change to what leaves your device.

Apple Speech Recognition: voice journalling and voice-first Mama Bloom use SFSpeechRecognizer only with on-device recognition required. The app does not permit server transcription. If the selected language or device cannot provide on-device recognition, the feature reports that voice input is unavailable. Raw audio stays on the device; the resulting text is returned locally to the app.

Pre-recorded voice content (ElevenLabs): some guided audio in the app (for example certain hypnobirthing and sleep-coach narrations) was produced during development using ElevenLabs text-to-speech and is bundled into the app as fixed audio files. No user data is sent to ElevenLabs at any time, and ElevenLabs is not contacted while you use the app — the audio plays back entirely on your device. ElevenLabs is therefore a content-production supplier, not a recipient of your personal data.

iCloud legacy recovery and account marker: current wellness and baby records are not synced to iCloud. An older encrypted snapshot saved by a Mama Bloom version before v1.8 may be recovered once on the iPhone that saved it. It is deleted after the recovered records are safely saved on that iPhone, or when you delete your account (Sections 7 and 9). A privacy-preserving iCloud key-value marker may remain for account recovery; it contains no wellness records.

Apple App Store: we receive only your subscription status. We never see payment details.

Crash Reporting: we use Apple MetricKit (built into iOS) to receive anonymised crash and performance diagnostics. No third-party crash reporting SDK is installed. Crash metadata is processed by Apple and delivered to us in non-identifying form.

Analytics: after you give consent, we collect minimal pseudonymous usage signals (for example feature opened, onboarding completed, subscription state, turning Held on or off, AI-turn cost band, cache hit-rate snapshot, and crash / diagnostic events) and send them to our managed infrastructure via Upstash (our rate-limit and analytics key-value store). Each time the app comes to the foreground, an analytics event also records the day band, which says how many days have passed since this install first opened (the day it first opened, the day after, 2 to 6 days later, 7 to 13, 14 to 29, or 30 or more days later), and how the app was opened (from its icon, a notification, a widget, Siri, Spotlight, a Live Activity or a link); this event never says which notification, widget or shortcut it was, or what it was about. Like every analytics event, these are kept with your pseudonymous analytics identifier for 30 days. The day band is also kept in a list of identifiers for up to 90 days so we can see whether people come back. After those 30 days, how the app was opened survives only as a daily count. Before v1.9.9 the app also sent the exact number of days since this install first opened. Until 4 October 2026 our servers added your pseudonymous analytics identifier to a list for that exact day, kept for up to 90 days, and stored the number itself in the raw event, kept for 30 days. Our servers stopped both on 4 October 2026. The lists expire by 2 January 2027, and the raw events that hold the number expire by 3 November 2026. Until 5 October 2026, some analytics events also contained names that can show your journey stage or something about your health, for example the name of a tool or screen you opened (such as the Kick Counter), of a notification you tapped, or of a note Mama Bloom prepared for you before a loss anniversary. Our servers kept them with your pseudonymous analytics identifier in the raw event for 30 days. Since that date our servers no longer store such names with your identifier, and the raw events stored before it expire within 30 days. Analytics events do not contain people's names, email addresses, journal content, mood notes, chat text, crisis-classifier text or health data. No third-party analytics company receives your data.

Rate limiting: a pseudonymous device identifier (generated in iOS Keychain) is sent to Upstash for rate limiting and abuse prevention. The records that hold it for rate limiting expire within 48 hours, except the weekly mark for the Sunday letter, which expires after 9 days. For Apple's App Attest check, which shows that a request comes from a genuine copy of Mama Bloom, our servers also keep a record that links the identifier to your iPhone's App Attest key; it expires 90 days after it was last used. Our servers also keep a record that links the identifier to a one-way code of your account, so that deleting your account reaches every iPhone you used; it expires 90 days after it was last used and is deleted with your account (Section 7).

Password reset & support email: when you request a password reset or submit an in-app support ticket, the relevant text is transmitted to Resend.com (transactional email service provider) so we can deliver the OTP or route your message to support@mamabloom.app. For support tickets, if you explicitly enable "Include app info", a limited set of non-sensitive diagnostic fields (app version, iOS version, journey stage, subscription status, device locale) is attached. Journal entries, mood logs, health data, and credentials are never attached. Legal basis: Art. 6(1)(b) GDPR (contract performance) and Art. 6(1)(f) (legitimate interest in running a support function). Retention: support tickets up to 12 months post-resolution; Resend transmission logs per their terms (~30 days). You can request deletion of a ticket at any time via support@mamabloom.app.

No advertising SDKs, cross-app tracking, or data brokers receive any of your data.

6a. Baby AI requests — exact data receipt#

The baby trackers store current records only in protected local storage on your device; they are not synced to iCloud. Simply opening a tracker, starting or ending a timer, saving a record, viewing patterns, or opening Little Days sends no baby record to Anthropic. When Personalised AI saved-context sharing is on, general companion chat may use only the baby context listed in Section 6. Separately, two user-initiated baby-tool requests use narrower data receipts:

• Feeding Q&A: when you tap Ask, the words you typed are sent through our secure proxy to Anthropic. With Personalised AI saved-context sharing off, this typed question is the only user content included; no saved baby record is added. With saved-context sharing on, the request may additionally include approximate age in completed months and up to five recent completed feeding entries, newest first, limited to minutes since each feed ended, measured duration in minutes, and feeding type (breast, bottle, combination, or unspecified). The app does not automatically include baby name, notes, volumes, exact dates, or other app records. Anything you type yourself is sent as part of the question.

• Little Days AI sleep review (Mama Bloom+ only): a request is sent only while Mama Bloom+ and Personalised AI saved-context sharing are active and after you ask for the review. It includes approximate age and at most the latest five completed sleep summaries, limited to start time, duration, and wake time. Baby name, notes, feeding, diaper, growth, and other baby records are excluded.

Both requests are sent to Anthropic (USA) through the same secure server-side proxy described in Section 6. The proxy does not retain their prompt content, and Mama Bloom does not maintain a separate server database of your saved baby logs. Anthropic handles inputs and outputs as standard commercial API data, normally deletes them within 30 days (Section 7 names the exceptions), and does not use them to train models. We do not sell baby data, use it for advertising, or disclose it to data brokers. Turning off Personalised AI saved-context sharing prevents saved baby age, feeding summaries, and sleep summaries from being included; Feeding Q&A can still send only the question you choose to type, while Little Days does not send an AI sleep-review request.

7. Data Storage, Security and Retention#

Current wellness and baby records are stored in protected local storage and covered by iOS Data Protection at rest. v1.8 does not write those records to iCloud Documents and does not provide ongoing iCloud record sync. We do not maintain a separate cloud database for wellness records; limited operational services such as our secure proxy and consented analytics endpoint run on managed infrastructure. Account recovery (email accounts): the one-way email hash that enables recovery is kept for as long as your account exists and is deleted with it; six-digit recovery codes expire after at most 10 minutes and are single-use.

One-way legacy recovery: a Mama Bloom version before v1.8 may have saved an encrypted snapshot of your records in your private iCloud container. That older snapshot can be read only on the iPhone that saved it. When you sign in on that iPhone, Mama Bloom may read that snapshot once, write the recovered records to protected local storage, verify that local save, and only then delete the snapshot. If verification fails, nothing is deleted and the snapshot stays in your iCloud. A recovery does not change the journey stage this iPhone already has, or your choices for Personalised AI saved-context sharing, partner sharing and analytics. Because the snapshot is older, your most recent entries may not be in it, and photos were never part of it. A privacy-preserving iCloud key-value marker may remain for account recovery, but it contains no journal, mood, symptom, baby, therapy, medication, or other wellness record.

If you change, lose, or erase this device: current records live only in protected storage on this iPhone. That storage is excluded from iCloud Backup and from backups made on a computer (with Finder or iTunes), so a backup never carries your records to another iPhone. Your profile photo, your favourites and your Weekly Checklist are kept the same way (since v1.4.10), and so are your year of birth, if you entered it, the letters Mama Bloom AI wrote after your first 7, 30 and 100 days and, for a day or more after a PHQ-9 check-in, the mark that Mama Bloom sent you a support note (new in v1.4.11). This iPhone's Keychain holds whether Held is on and when Mama Bloom last suggested it to you, whether Mama Bloom has stopped showing and sending anything about your journey stage (because you asked it to, or because you told Mama Bloom of a loss when you changed your journey stage), and for which anniversaries of a loss a note has already reached you (new in v1.4.11); these stay with your account when you sign out. The Keychain also holds your journey stage and the record of your consent, which includes a copy of your year of birth and your analytics choice. Only this iPhone can read what Mama Bloom keeps in its Keychain, so a backup can bring it back only to this iPhone, never to another one, and iOS lets Mama Bloom read it while your iPhone is locked, once you have unlocked it for the first time after a restart, so Mama Bloom can keep to your choices then too. If you delete the app but not your account, these Keychain items stay on this iPhone, and if you were signed in, you stay signed in on this iPhone: if Mama Bloom is installed here again, it opens signed in to your account and they apply again. Delete My Account and Delete all my data remove them and sign you out; erasing all content and settings of this iPhone removes them too. What an earlier version of Mama Bloom saved of the items marked (new in v1.4.11) above moves to its new place the next time you open Mama Bloom while signed in to your account; what an earlier version saved of your profile photo, your favourites and your Weekly Checklist gets this protection the next time Mama Bloom reads it, your profile photo the next time you open Profile. Until an item has moved, it stays ordinary app data. If Mama Bloom cannot save one of these three items — your year of birth, that Held is on, or that nothing about your journey stage is shown or sent — in its new place at that moment, it keeps it as ordinary app data until it can. Some smaller app data, for example your support-ticket list, app settings, a baby-name shortlist from an older version of Mama Bloom, and markers of how you use Mama Bloom, such as which tools you opened and where you stopped in a story or meditation, is ordinary app data that a backup can carry. Anything you save to Apple Health is kept by Apple Health under your Health and iCloud settings, not by Mama Bloom. Your records do not move to a new or replaced iPhone by themselves, and neither Mama Bloom nor Apple can restore them there for you. Your email sign-in credentials are held only in this device's Keychain and do not travel either. The record-free iCloud key-value marker described above may let a new device recognise that an account exists and offer a password reset; that restores access to the same account, not your records, and it is unavailable if you sign in with a different Apple Account or have iCloud turned off. Save a copy of your records before you replace, erase, or hand on a device (Profile → Privacy & Data → Export all my data); you can then bring it into Mama Bloom on your new iPhone, as described below.

Bringing your records to a new iPhone (added in v1.4.9): the copy you save with Export all my data is a file that you keep wherever you choose; we never receive it. The file is not encrypted: it holds your records in readable form, so anyone who has it can read them — keep it somewhere private. Wherever you keep or send it, that service handles it under its own terms. On any iPhone where you are signed in to Mama Bloom, for example a new or reset one, you can choose that file and bring it into Mama Bloom (in the United States, while your consent to the collection of consumer health data is on). Mama Bloom reads the file only on your iPhone, checks it, and shows you what it would add before anything changes; nothing in it is sent to us. Bringing a copy in never brings consents or privacy choices with it: Personalised AI saved-context sharing, partner sharing, analytics and your Apple Health permissions stay as you set them on this iPhone, and a journey stage this iPhone already has is not changed. If this iPhone already has records for your account, the copy adds only what this iPhone does not have and does not change records already here. Journal entries you deleted on this iPhone stay deleted unless you choose to bring them back; anything else you deleted here after you saved the copy can come back, including memory notes, and people you removed with a version of Mama Bloom before v1.9.10; you can delete it again. A person you asked Mama Bloom to forget here with v1.9.10 or later does not come back. From a copy saved with a version of Mama Bloom before v1.9.9, Mama Bloom cannot always tell which journal entries you deleted on this iPhone, so an entry you deleted can come back; Mama Bloom tells you before anything changes, and you can delete it again. If the copy was saved from a different Mama Bloom account, Mama Bloom shows the first name and the partly hidden email address it was saved for, where the copy holds them, and brings it in only after you confirm that it is yours; it then brings your records only — not conversations, memory notes, conversation summaries, the people list, saved replies, or Sunday Letters and other texts Mama Bloom wrote for you. No copy you save contains your answers to the individual PHQ-9 questions; a copy saved with Mama Bloom v1.9.9 or later contains your PHQ-9 results as described in Section 3. A copy may not bring everything back: from one saved with an older version of Mama Bloom, your conversations and most kinds of photos cannot come back, and if you have many photos, a copy may leave out some older ones. Mama Bloom tells you what it could not bring back.

Retention: current wellness records remain on the device until you delete them. Delete your account in Profile → Delete My Account to remove local records and trigger cleanup of associated operational records that we control. Some hosting-provider logs may remain for a limited period under their standard retention windows and legal obligations.

Specific retention periods:

• Chat messages and other requests to Anthropic (Sections 6 and 6a): Anthropic does not use them to train models. By default it deletes each request and its reply automatically within 30 days. It keeps them longer only to enforce its Usage Policy (anthropic.com/legal/aup) or where the law requires it: if its automated safety systems flag a request as breaking that policy, Anthropic can keep the request and the reply for up to 2 years, and the safety scores its systems gave them for up to 7 years. Mama Bloom has no separate agreement with Anthropic that changes these periods, and it does not put your data in Anthropic Files, where files stay until they are deleted; Anthropic Files holds only Mama Bloom's own library of wellness articles, exercises and MamaTips (Section 6). Mama Bloom does not store chat messages on its own servers. Explicit prompt caching may retain content blocks for up to 1 hour within that provider handling window
• Conversation memory notes and conversation summaries: on this device only. Notes are not kept indefinitely — each category holds only a few, a note Mama Bloom has not drawn on for a while fades and is dropped over the following weeks, a stronger new note can replace the weakest, and you can forget any note at any time; older summaries are condensed into one short digest. Notes and summaries set aside (Section 6) stay on this device, unused, until you use them again, change your journey stage back or forget them, or delete your account; set-aside notes still fade like any other note. A one-way code of each name you asked Mama Bloom to forget stays on this device so that the name is not added back; it is never in a copy you save and is deleted with your account. Deleting your account deletes all of them; the end-of-conversation memory request follows the chat-message retention above
• Photo Label images (Mama Bloom+): our proxy does not retain images. Anthropic handles the photo and any consented minimal stage/diet context as standard commercial API inputs, normally deletes them within 30 days (the first point in this list names the exceptions) and does not use them to train models. The proxy logs no image bytes or prompt content; it keeps an 8-character SHA-256 hash prefix plus limited operational metadata under its normal security/log retention
• Bundled wellness corpus in Anthropic Files: maintained on our developer account; no user data. Mama Bloom registers its own copy for each install and account that uses it, and our servers keep a record of that copy with your install identifier and a one-way code of your account until you delete your account
• Analytics events: raw events retained for 30 days; device profile, daily aggregates and daily lists of pseudonymous identifiers, for example by day band (Section 6), retained for 90 days; all automatically purged on expiry. Account deletion keeps a one-way pseudonymous analytics-erasure marker and a constant-value repair work item so delayed transmissions cannot recreate deleted records. The marker's 400-day expiry is refreshed while deletion cleanup remains pending; after the final successful cleanup attempt it expires within 400 days. The content-free repair item deliberately remains while that marker exists so daily cleanup can re-purge any delayed write, then is atomically removed when the marker has expired. Neither record contains event content, profile data, consent choices, a raw account ID, email, or health data
• AI distinct-user analytics: Mama Bloom does not retain device- or account-membership sets merely to count distinct AI users. Those counts are unavailable, and daily cleanup removes legacy sets created by earlier builds
• Account-deletion coordination: if server cleanup cannot be verified immediately, a restricted v6 retry record remains without a fixed expiry until cleanup succeeds. It contains a schema version and deterministic pseudonymous request-generation token, the raw account ID, pseudonymous account token, request-install ID, email, language, submitted analytics-erasure fingerprints, request/attempt timestamps, and up to 12 unique lowercase ASCII diagnostic codes in operation:category format (maximum 64 characters each). Operations come from a fixed allowlist; categories are exactly authorization_error, conflict, invalid_input, not_found, operation_failed, provider_error, rate_limited, storage_error, timeout, or unavailable. Codes contain no Redis key, account/device/file/batch/transaction identifier, email, or provider/error message. Its only optional Apple-subject material is a validated lowercase 64-character hexadecimal appleSubjectHash (the SHA-256 hash of the Apple subject), used solely to locate the durable Apple/account link for erasure; it never stores the raw Apple subject or an Apple identity JWT/token. Every stored pre-v6 job, including v5, and any non-normalized diagnostics are durably normalized/migrated to v6 before retry work. If that migration write fails, the attempt stops and is retried later. Verified cleanup removes the exact bloom:account-auth:{accountToken} record, every bloom:account-auth-device:{accountToken}:* binding, and any stale bloom:account-bootstrap:{accountToken}:* artifact. A bloom:apple-account:{appleSubjectHash} link is deleted only when its stored accountToken exactly matches the deletion target; a stored mismatch or any read/delete failure is recorded and leaves the durable job pending. A missing link is treated as already gone. The record contains no journal, chat, image, or health content and is removed after verified completion
• Post-deletion suppression: verified cleanup leaves a separate pseudonymous account-token marker whose value contains a schema version and completion time for 400 days so delayed StoreKit or backend events cannot recreate the deleted account. It contains no raw account ID, email, event content, or health data
• StoreKit operational records: subscription state and transaction/install mappings may remain for up to 400 days from their latest relevant write to cover annual subscriptions, renewals, grace periods, refunds, and access reconciliation. Premium-access caches contain only constant 1 / 0 status values: the legacy bloom:premium:{appAccountToken} cache and the exact install/account cache each expire 35 days after their latest write. Verified account deletion removes the exact legacy app-account-token cache and exact account-scoped caches while preserving a sibling account's cache on the same installation. Daily lifecycle aggregate counts and SHA-256-derived pseudonymous original-transaction memberships are also retained for 400 days. While a StoreKit notification is being processed, its raw Apple notification UUID is held in the key with a random processing-owner claim for up to 5 minutes; successful processing atomically replaces that claim with a constant de-duplication sentinel for 24 hours. Failed processing releases only its own claim so Apple's retry remains possible. To serialize differently identified notifications and live Apple Status API reconciliation for one subscription, a SHA-256-derived original-transaction key holds only a random processing-owner token for up to 5 minutes and is deleted immediately after successful completion or a handled failure. Both paths persist a comparable signed-date boundary. Only strictly older signed events are ignored; an equal signed date is replayed so a partial earlier write can be repaired. Account deletion removes directly account-linked subscription and mapping records; lifecycle aggregates and hashed memberships remain only to their normal expiry. A party that already holds an original transaction ID could calculate the same membership hash; the set itself contains no raw account ID, account token, email, or transaction ID
• Authentication and email-keyed throttles: password-reset OTP expires after 60 minutes; password-reset and new-account-verification request-throttle counters expire after 60 minutes; the new-account verification OTP expires after 15 minutes; the single-use reset token expires after 10 minutes; and the password-reset guess counter lasts no longer than the remaining OTP lifetime, with a 15-minute fallback only when a touched legacy OTP exists without a TTL. Counter increment and expiry are atomic. A failed-delivery quota refund atomically checks that the request counter still exists with a positive TTL before a bounded decrement; an expired, concurrently deleted, invalid, zero/one, or no-TTL key is never recreated and is removed where present. A missing OTP creates no guess counter, daily cleanup deletes any pre-fix request/guess counter found without a TTL, and account deletion removes the exact email-keyed records plus matching reset tokens
• Rate-limiting and replay-protection identifiers (Upstash): account- or install-keyed daily chat/content usage counters expire at the next midnight calculated from the integer UTC offset supplied by the app (clamped to ±14 hours), or at UTC midnight if none is supplied, so their TTL is 1 second to 24 hours. So that a changed offset cannot open a second count for the same day, the first offset our servers see for an account or install is kept in a separate record with that account or install identifier, which expires 48 hours after it is written and is deleted when you delete your account; until then the daily counters follow that offset. A separate daily count of the messages answered without counting against your day (Section 6) is kept the same way, with the same identifiers and expiry; it holds a number only, and it is deleted when you delete your account. Daily counter increment and expiry are one atomic operation and repair a touched pre-fix counter with no TTL. Raw source-IP request counters expire 660 seconds after the first request in a fixed 10-minute window. Claimed install identifiers (capped at 100 characters) used to detect identifier rotation share that fixed window, but their set TTL is refreshed to 660 seconds whenever a new hint is added, so the set can remain up to 11 minutes after the last newly observed hint. Raw source-IP burst counters expire 70 seconds after the first request in a fixed 60-second window. The request, burst, and rotation writes and their expiries are one atomic operation; a touched pre-fix missing or overlong TTL is repaired to the stated ceiling. After success, chat stores a constant 5-minute marker that skips only a repeated daily rate-count increment; call stores the full successful generated-response JSON for 5 minutes and returns it on a retry. For Apple's App Attest check, a one-time challenge for your install expires after 5 minutes, and the record of your iPhone's App Attest key, which holds its public key, your install identifier and a counter, expires 90 days after it was last used. A record that links your install identifier to a one-way code of your account, so that deleting your account reaches every iPhone you used, expires 90 days after it was last used and is deleted with your account. For a job that Mama Bloom AI runs later through Anthropic's Batch API, our servers keep a record with the same two identifiers for up to 31 days, or until you delete your account
• Crisis-classifier metadata: only that a check ran, counted in analytics (30/90-day window); no severity, category or message text is kept
• Email delivery logs (via Resend): retained per their terms, typically 30 days
• Support tickets: content retained in our support mailbox for up to 12 months after resolution, then deleted or anonymised
• Support ticket on-device cache (build 55+): a rolling list of your last 20 ticket references (id, subject line, category, time) is kept on this device so you can find your reference number after closing the support sheet. No message body is cached. Included in your GDPR data export and erased when you delete your account.
• A message waiting to be sent (new in v1.4.10): if you send a message to Mama Bloom AI while your iPhone is offline and no reply can be written on this iPhone, Mama Bloom keeps a reference to that message in protected storage on this iPhone, never its words, which stay in your conversation, and sends the message when you are back online, but only if your conversation still ends with it. The reference is deleted when the message is sent or no longer waits, and with your account.
• Journal entries from Siri that are waiting to be added: in an encrypted inbox on this iPhone until the next time you open Mama Bloom signed in to the same account, when they become ordinary journal entries. Signing out does not delete them; deleting your account or all your data does.
• The file of the "Something small for today" widget (new in v1.4.10): a small file in a storage area on this iPhone that only Mama Bloom and its widgets can read. It holds whether the widget may show words, whether it shows only its general line, as it does while Held is on or no journey stage is set, whether its daytime lines come from the set Mama Bloom uses after a loss, the month and day of your due date, your baby's birth date and the date of a loss, so that no line appears on those days, and the app's language; never a name, a year or anything you wrote. The widget's words come from a fixed set inside the app. Only Mama Bloom writes the file. iOS protects it until you first unlock your iPhone after a restart, so the widget can read it while your iPhone is locked; it is excluded from backups and deleted when you sign out or delete your account. Mama Bloom's other widgets read a separate small file in the same storage area, which iOS protects whenever your iPhone is locked: it holds the word for your latest mood, when you last checked in and, during a pregnancy, your pregnancy week with the dates and the time zone the widget needs to count it on until your due date; it is excluded from backups and deleted at the same times.
• Records for Mama Bloom AI's actions in the chat (new in v1.4.10; Section 6): each holds your install identifier and your account identifier, the identifier of one step and a count of up to three; it is deleted when it is used and otherwise expires after 5 minutes.
• The Sunday letter's weekly mark (new in v1.4.10; Section 6): one mark for each iPhone and week; its name holds your install identifier and the date of that week's Sunday, and it holds only the number 1. It is written only when a letter came back, and it expires by itself after 9 days or is deleted when you delete your account.

8. International Transfers#

When you use Mama Bloom AI, the AI request data described in Sections 6 and 6a transfers to Anthropic in the USA, including conversation data, ingredient / food-label photos, the figures in the Weekly Insights observation described in Section 6, the reflections and other texts Mama Bloom AI writes for you (Section 6), the Partner Hub briefings described in Section 6, and the limited baby-tool request data described in Section 6a. For Feeding Q&A this means the question you type and, only with Personalised AI saved-context sharing on, approximate baby age plus up to five limited structured feeding summaries. For the Mama Bloom+ Little Days AI sleep review, approximate baby age plus at most the latest five completed sleep start/duration/wake summaries transfer only after saved-context opt-in and your request; baby name and notes are excluded. v1.8 does not upload a user-journal corpus to Anthropic Files. Our contract for Mama Bloom AI is with Anthropic Ireland, Limited (Dublin, Ireland). Anthropic stores your AI requests in the USA, where Anthropic's US companies, such as Anthropic, PBC (San Francisco), can access and process them. Anthropic may also process a request in selected countries in Europe, Asia and Australia, and Anthropic and other Anthropic companies may process it in the countries where they work, for example for safety reviews, support or dealing with incidents; Anthropic lists these companies and its service providers, and where they process data, in its Trust Center (trust.anthropic.com). Anthropic's Data Processing Addendum (anthropic.com/legal/data-processing-addendum) makes Anthropic our processor. For users in the EU, Iceland, Norway and the UK, it includes the EU Standard Contractual Clauses (2021) and, for the UK, the UK International Data Transfer Addendum, where the law requires them for our transfer to Anthropic. It also requires Anthropic to bind every company it uses to process your data to protections substantially as strong as its own, and Anthropic remains liable to us for those companies as it is for itself. Anthropic's published terms do not say which transfer safeguard, such as Standard Contractual Clauses, covers your requests when Anthropic processes them in the USA or the other countries above. Anthropic Files is used only for the bundled Mama Bloom wellness corpus, which contains no user data, under the same Anthropic legal entity and DPA.

In addition, limited operational data described in this policy — such as consented analytics events, device-level rate-limit/security identifiers (Upstash), password-reset email routing (Resend), and proxy hosting (Vercel) — may be processed by our managed infrastructure providers. Our API proxy is hosted on Vercel Inc. infrastructure in the USA; rate-limiting and analytics key-value storage is provided by Upstash Inc. (USA). For users in the EU, Iceland, Norway and the UK, the transfers to Vercel, Upstash and Resend rely on the Standard Contractual Clauses in each provider's data processing agreement (for the UK, with the UK International Data Transfer Addendum); Apple processes data under its own data processing terms.

For users in the United States, Australia, and New Zealand, the same AI request data described above, including AI conversation data, ingredient / food-label photos, Weekly Insights figures, reflections and other AI-written texts, Partner Hub briefings, first name, country, and limited baby-tool request data, is transferred to Anthropic in the USA to generate AI replies, with proxy hosting on Vercel Inc. (USA) and rate-limiting/security key-value storage on Upstash Inc. (USA). The ordinary chat path does not send your age; the baby tools may send only the approximate baby age described in Section 6a. For US users, AI requests are stored in the USA, and Anthropic may also process them in other countries, as described above; for Australian users this is a cross-border disclosure under APP 8 and for New Zealand users a disclosure outside New Zealand under IPP 12, and we take reasonable steps to ensure it is handled consistently with the APPs / IPPs respectively. You can stop saved baby context from being sent at any time via Profile → Privacy & Data → Share context with Mama Bloom; Feeding Q&A may still send only the question you choose to type.

9. Your Rights#

Your rights (European Union & United Kingdom — GDPR / UK GDPR)

You have the following rights. Each links to how you exercise it inside Mama Bloom where possible.

• Access (Art. 15 GDPR) — request a copy of your personal data. Use Profile → Privacy & Data → Export all my data for a machine-readable JSON file of the records Mama Bloom keeps on this iPhone, including the privacy choices you made, or email privacy@mamabloom.app for what we keep about you on our servers. For the PHQ-9, the file holds what Mama Bloom keeps in your records (Section 3), never your answers to the individual questions; recovery copies are not part of the file.
• Rectification (Art. 16) — correct inaccuracies in Profile → Edit Profile, or email us for records you cannot edit yourself.
• Erasure / right to be forgotten (Art. 17) — Profile → Delete My Account and Profile → Privacy & Data → Delete all my data run the same erasure: they remove local records, request cleanup of device-keyed operational, analytics, and referral records we directly control, and then sign you out. The records for Apple's App Attest check, which expire at the latest 90 days after their last use, and a few records that expire by themselves within an hour, such as the single-use records for Mama Bloom AI's actions, are not part of this cleanup (Section 7). Mama Bloom also deletes a legacy encrypted iCloud wellness snapshot after verified local recovery and when you delete your account; the record-free account-recovery marker is described in Section 7. Anthropic API inputs and hosting-provider logs may remain only for their disclosed retention windows or legal obligations.
• Restriction (Art. 18) — pause processing while a dispute is open. Email privacy@mamabloom.app; AI sharing can also be disabled instantly in Profile → Privacy & Data.
• Portability (Art. 20) — the JSON data export in Profile → Privacy & Data → Export all my data is machine-readable and transferable, and you can bring it back into Mama Bloom on another iPhone.
• Object (Art. 21) — object to processing based on legitimate interests.
• Withdraw consent — at any time, without effect on the lawfulness of processing done before withdrawal.
• Automated decision-making (Art. 22) — Mama Bloom does NOT make solely-automated decisions that produce legal or similarly significant effects about you. AI outputs are wellness suggestions; you choose what to do with them.
• Complain — lodge a complaint with your supervisory authority.

Supervisory authorities:
UK: Information Commissioner's Office (ico.org.uk)
EU/Germany (Federal): Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (bfdi.bund.de)
Saxony (our seat): Sächsischer Datenschutz- und Transparenzbeauftragter (sdtb.sachsen.de)
Austria: Datenschutzbehörde (dsb.gv.at)
Switzerland: EDÖB (edoeb.admin.ch)
United States: there is no single federal privacy regulator — direct complaints to your State Attorney General (in California also via the California Privacy Protection Agency, cppa.ca.gov). Washington: the Washington State Attorney General enforces the My Health My Data Act (atg.wa.gov), which also gives consumers a private right of action under the Washington Consumer Protection Act.
Australia: Office of the Australian Information Commissioner — OAIC (oaic.gov.au)
New Zealand: Office of the Privacy Commissioner / Te Mana Mātāpono Matatapu (privacy.org.nz)

User controls available inside the app:
In Profile, most rows named here sit under Privacy, Legal & Support, and Notifications under Tools & Reminders; tap a heading to open it.

• Disable Personalised AI saved-context sharing (Profile → Privacy & Data → Share context with Mama Bloom) — chat still works and sends the recent messages of your conversation; no first name, journey stage, named-people list, PHQ band, journal excerpt, or other saved app context is sent; nothing from your saved context is sent for notifications, letters or reflections, and the Body & Mind note, the weekly letter's reflection, the weekly pattern notes, the letters after your first 7, 30 and 100 days, the Library's daily read, the notes and questions for articles and today's Morning Check-In note that the cloud AI wrote are removed from this iPhone
• Opt out of analytics (Profile → Pseudonymous usage analytics)
• Turn off proactive Mama Bloom notes (Profile → Tools & Reminders → Notifications → Allow proactive notes); the other reminders have their own switches on the same screen
• Disable voice input (iOS Settings → Privacy & Security → Speech Recognition)
• Face ID / biometric lock on your journal (Profile → Face ID Lock)
• Turn off Mama Bloom AI, including Apple's on-device model (Profile → Withdraw Data Consent). This also turns off Personalised AI saved-context sharing and analytics. Re-enable Data Consent, in the same place, turns only Mama Bloom AI back on (if you are 18 or older; Mama Bloom may ask you first, Section 2); saved-context sharing and analytics stay off until you turn each of them on yourself, which you can do right there. If you turned Mama Bloom AI back on with Re-enable Data Consent before v1.9.9, that also turned saved-context sharing and analytics back on; you can check both in Profile → Privacy & Data → Share context with Mama Bloom and in Profile → Pseudonymous usage analytics
• Choose which Apple Health types Mama Bloom may read or save (in the Health app, for Mama Bloom)
• Stop Mama Bloom reading from and saving to Apple Health (Profile → Privacy & Data → HealthKit sync)
• Turn off Siri for Mama Bloom (iOS Settings → Apps → Mama Bloom → Siri)

To exercise any right: privacy@mamabloom.app (or telephone +49 152 5826 2078). We respond within 30 days (or 1 month under GDPR).

We never sell your data. Before anything else: Mama Bloom does not sell your personal data and never has — no money, no other valuable consideration. We do not "share" it for cross-context behavioural advertising, we do not run targeted advertising, and there is no third-party advertising, tracking, or analytics SDK in this app (SKAdNetwork only). Mama Bloom is a wellness app, not a medical device.

Your US privacy rights (state law)

If you live in a US state with a consumer-privacy law (such as California, Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Indiana, Kentucky or Rhode Island), you have these rights — and we point you to the same in-app tools we offer everyone:

• Know / Access — confirm what personal data we hold and get a copy. Use Profile → Privacy & Data → Export all my data for a machine-readable JSON file of the records on this iPhone (for the PHQ-9, see Access above), or email privacy@mamabloom.app for what we keep about you on our servers.
• Delete — ask us to erase your personal data. Profile → Delete My Account, or Profile → Privacy & Data → Delete all my data, removes on-device records and requests cleanup of device-keyed operational, analytics, and referral records we directly control. Provider inputs and logs follow the retention windows in Section 7.
• Correct — fix inaccurate personal data in Profile → Edit Profile, or email us for records you cannot edit yourself.
• Data portability — the JSON file from Export all my data is portable and machine-readable, and you can bring it back into Mama Bloom on another iPhone.
• Opt out of sale or sharing / targeted advertising / profiling — not applicable, because we do not sell or share your data, do not run targeted advertising, and do not profile you for decisions that produce legal or similarly significant effects. There is nothing to opt out of. If you still wish to register a preference, email privacy@mamabloom.app.
• Limit use of sensitive personal information (California) — we use your sensitive data only to provide the app's wellness features; we do not use or disclose it for any incompatible purpose.
• Non-discrimination — we will never deny you service, change your price, or reduce quality for exercising any of these rights.

Sensitive and consumer-health data. Some of what you choose to record is sensitive — pregnancy, postpartum and fertility information, mood and PHQ-9 results, and your baby's details. Current records live in protected local storage and are not synced to iCloud. PHQ answers, exact scores, and the question 9 response are never sent to us or to any AI; only a derived band may enter consented saved AI context. Mama Bloom does not keep your answers to the individual PHQ-9 questions in your records (Section 3). We never sell this data or share it for advertising.

Washington residents (and other consumer-health-data states). If you live in Washington, a separate Consumer Health Data Privacy Policy governs how we handle your consumer health data under the My Health My Data Act (MHMDA): https://mamabloom.app/consumer-health-data. Any collection or sharing of consumer health data is consented to inside the app, and those consent toggles default to OFF — nothing is collected or shared on this basis until you affirmatively turn it on. You can withdraw either consent at any time in Profile → Consumer Health Data (shown to US residents), where separate toggles control collection and sharing — withdrawal stops further collection and/or sharing going forward. For consumer-health-data requests under the MHMDA specifically, we respond within 45 days (extendable once by a further 45 days where reasonably necessary), as set out in that policy. Similar consumer-health-data protections apply to residents of Nevada (SB 370) and Connecticut.

Optional AI companion. When you submit a companion message, its text is sent to Anthropic (USA) through a secure proxy (hosted on Vercel, with Upstash for rate-limiting/security, both USA) to generate a reply. With Personalised AI saved-context sharing off, the recent messages of your conversation are the user content included; no first name, country, journey stage, or saved app context is sent. With sharing on, the bounded context in Section 6 may be included. Photo Label is a separate, explicitly confirmed request. Your age is never sent, and v1.8 does not upload a user-journal corpus to Anthropic Files.

To exercise any right: use the in-app tools above, or email privacy@mamabloom.app (or call +49 152 5826 2078). We respond within 30 days. We may take reasonable steps to verify your request.

Your Rights (Australia — Privacy Act 1988 (Cth) & the Australian Privacy Principles)

Under Australian law, pregnancy, postpartum, fertility, mood and wellbeing-screener data, and your baby's details are "sensitive information" and receive the highest protection. Each right below links to how you exercise it inside Mama Bloom where possible.

• Access (APP 12) — request a copy of the personal information we hold about you. Use Profile → Privacy & Data → Export all my data for a machine-readable JSON file of the records on this iPhone (for the PHQ-9, see Access above), or email privacy@mamabloom.app for what we keep about you on our servers.
• Correction (APP 13) — ask us to correct information that is inaccurate, out of date, incomplete, irrelevant or misleading. Edit most fields yourself in Profile → Edit Profile, or email privacy@mamabloom.app for records you cannot change in-app. Correction is always free.
• Consent and withdrawing it (APP 3 / APP 6) — we only handle your sensitive information with your consent and for the stated purpose. Turning off Personalised AI saved-context sharing stops first name, country, journey stage, saved history, and other saved context from accompanying companion messages; the recent messages of your current conversation are still sent. Photo Label sends a selected photo only after separate confirmation. You can opt out of analytics in the same screen.
• Deletion — Profile → Delete My Account, or Profile → Privacy & Data → Delete all my data, removes local records and requests cleanup of device-keyed operational and analytics records we directly control. AI-provider inputs and hosting-provider logs age out under the retention windows in Section 7.
• Anonymity and pseudonymity (APP 2) — your data lives encrypted on your device, and you may use a pseudonym or just a first name where it is practicable for us to deal with you that way.
• No selling, no sharing, no tracking — we do not sell or share your personal information for cross-context behavioural advertising or for any monetary or other valuable consideration, and we use no third-party tracking or advertising SDK. We do not use your sensitive information for direct marketing (APP 7).
• Complain — if you are not satisfied with our response, you can complain to the Office of the Australian Information Commissioner (OAIC). Please raise it with us first (privacy@mamabloom.app or +49 152 5826 2078) and allow 30 days to respond; we respond within 30 days.

To exercise any right: privacy@mamabloom.app (or telephone +49 152 5826 2078). We respond within 30 days.

Your privacy rights (New Zealand — Privacy Act 2020)

Under the Privacy Act 2020 and its 13 Information Privacy Principles (IPPs), you can:

• Access your information (IPP 6) — ask for confirmation that we hold personal information about you and request a copy of it. Use Profile → Privacy & Data → Export all my data for a machine-readable copy of the records on this iPhone (for the PHQ-9, see Access above), or email privacy@mamabloom.app for what we keep about you on our servers. We will respond as soon as reasonably practicable, and within 20 working days.
• Correct your information (IPP 7) — ask us to correct anything that is inaccurate, out of date, incomplete, or misleading. You can edit most details directly in the app; for anything else, email privacy@mamabloom.app. If we are unable to make a correction, you may ask us to attach a statement of the correction you sought.
• Choose how your information is collected and used — Mama Bloom keeps current wellness records in protected local storage. We do not sell or share personal information for advertising or any other valuable consideration, and we use no third-party tracking or advertising. You can disable Personalised AI saved-context sharing in Profile → Privacy & Data, and opt out of analytics in Profile → Pseudonymous usage analytics.
• Delete your account and data — use Profile → Delete My Account, or Profile → Privacy & Data → Delete all my data, to remove local records and request cleanup of directly controlled operational records, or email privacy@mamabloom.app. Provider retention windows remain as disclosed in Section 7.
• Be told about a serious breach — if a privacy breach involving your information is likely to cause you serious harm, we will notify you and the Office of the Privacy Commissioner as soon as practicable, in line with the Act's notifiable-breach scheme.
• Make a complaint — if you are not satisfied with how we have handled your information, contact us first at privacy@mamabloom.app or +49 152 5826 2078, and you may also complain to the Office of the Privacy Commissioner (privacy.org.nz).

Because Mama Bloom is provided from Germany and our optional AI companion processes some information in the United States (via Anthropic), your information may be held or processed outside New Zealand; we take reasonable steps to protect it in line with IPP 12.

Your rights elsewhere in Europe (outside the EU, the EEA and the UK)

Mama Bloom is available in Bosnia and Herzegovina, Kosovo, Moldova, Montenegro, North Macedonia, Serbia and Ukraine. Each of these countries has its own data-protection law, and those laws give you rights we respect. We give you the same rights we give everyone in the European Union: to see the data we hold about you, to correct it, to delete it, to take a copy with you, to restrict or object to how we use it, and to withdraw a consent you gave us. You can use the ways in the app described above, or write to privacy@mamabloom.app. You can also complain to the data-protection authority in your own country.

10. Cookies and Tracking#

Mama Bloom is a native iOS app. No web cookies. No cross-app tracking. No advertising identifiers. Security and rate limiting use a pseudonymous install identifier. Consented analytics use a separate one-way, account-scoped pseudonymous identifier so two accounts on one device do not share an analytics profile; signed-out/onboarding use has a separate guest scope. Raw analytics records and identifier memberships that we control are included in account erasure; anonymous aggregate totals that no longer identify an individual remain only for the retention period disclosed in Section 7. If you reset the analytics identifier, pending unsent analytics are cleared and the former device-only secret is retained in protected Keychain storage for no more than 90 days solely to derive exact account, guest and legacy erasure handles; the raw secret is never sent. Neither identifier is used for advertising or third-party tracking. We provide Apple's required privacy disclosures through PrivacyInfo.xcprivacy and App Store Connect, and those disclosures should be kept current as features change.

10a. A/B Testing#

We may show different visual layouts of our subscription screens to improve the experience. Both layouts offer identical pricing and features. This assignment uses the pseudonymous one-way device fingerprint described above and is never used for advertising or third-party tracking.

10b. Referral Programme#

Our referral programme allows you to share a unique code with friends. Referral codes are generated from a pseudonymous device hash and do not contain your name, email, health data or personal answers. Referral data (code, redemption status, reward balance) is stored on our servers for up to 90 days and is deleted when you delete your account.

11. Data Breach Notification#

In the event of a personal data breach that poses a risk to your rights and freedoms, we will notify the relevant supervisory authority within 72 hours of becoming aware (GDPR Art. 33) and will notify affected users without undue delay where the breach is likely to result in a high risk (GDPR Art. 34). Contact: privacy@mamabloom.app

12. AI Limitations and Accuracy#

Mama Bloom AI responses are generated by artificial intelligence and may contain errors, inaccuracies, or outdated information. AI-generated content should not be relied upon as the sole basis for any health, wellness, or personal decision. Always verify important information with a qualified healthcare professional. Anthropic's standard published Data Processing Addendum, which constitutes our processor agreement under Art. 28 GDPR, is available at anthropic.com/legal/data-processing-addendum. Memory notes written from your conversations are AI-generated too: they can be wrong, so the "What Mama Bloom knows" screen shows the words they came from and lets you forget any note.

13. Service providers#

The following service providers are involved in processing your data:

• Anthropic Ireland, Limited (Claude AI) — Dublin, Ireland — AI conversation processing, vision analysis, batch jobs; Anthropic stores this data in the USA, where Anthropic's US companies, such as Anthropic, PBC (San Francisco), can access and process it, and Anthropic may also process a request in other countries (Section 8)
• Anthropic Files (Anthropic Ireland, Limited) — Dublin, Ireland; stored in the USA — storage for the bundled Mama Bloom wellness corpus only (no user data; v1.8 does not upload user journals)
• Apple Inc. — Cupertino, USA — one-way recovery and deletion of a legacy encrypted iCloud snapshot, a record-free iCloud key-value account marker, HealthKit, Push Notifications, Sign in with Apple, and StoreKit. Speech transcription in Mama Bloom's own voice features is restricted to on-device recognition and sends no audio to Apple servers.
• Resend Inc. — USA — Password reset and support ticket email delivery
• Upstash Inc. — USA — rate-limiting and analytics key-value storage
• Vercel Inc. — USA — API proxy hosting

Anthropic Files is provided by Anthropic Ireland, Limited and covered by the same Data Processing Addendum as Claude API usage; we list it separately because it is a distinct data-storage surface with its own retention behaviour.

Siri and the Shortcuts app are not among them: Apple provides them to you under its own terms (Section 6).

We will update this list if these service providers change and notify users of material changes in-app.

14. Changes & Changelog#

Material changes will be notified in-app. The current version is always available in Profile → Legal & Safety.

Version 1.4.11 — October 17, 2026
Six small items moved out of the ordinary app data that a backup can carry to another iPhone: your year of birth, the letters Mama Bloom AI wrote after your first 7, 30 and 100 days and the PHQ-9 support-note mark to the protected storage that backups do not carry (your year of birth also stays, as before, in the record of your consent in the Keychain); whether Held is on and when Mama Bloom last suggested it, whether Mama Bloom shows and sends anything about your journey stage, and the loss-anniversary marks to this iPhone's Keychain, which only this iPhone can read, a backup can bring back only to this iPhone, and iOS lets Mama Bloom read while your iPhone is locked. The three Keychain items stay with your account when you sign out and now stay on this iPhone if you delete the app, as your journey stage, the record of your consent and your sign-in already did, until you use Delete My Account or Delete all my data, or erase all content and settings of this iPhone. Section 7 updated. No new processing purpose, party, or data category — no re-acknowledgement required.

Version 1.4.10 — October 13, 2026
Material update. The Library and the Morning Check-In for Mama Bloom+ members: while saved-context sharing is on, the requests for the For You articles, the daily read, an article's note and question, a section's note and the Morning Check-In note, including the note prepared when you open Mama Bloom in the morning, can contain your saved context; Section 6 lists what each request contains. Earlier practice corrected: before v1.9.9 these requests contained saved context while sharing was on, and this policy did not describe them, nor the Morning Check-In note written when you open it; before v1.9.9, Mama Bloom AI could also look up more journal, mood and sleep entries in companion chat than Section 6 listed; and before v1.9.10, deleting your data left on this iPhone your Weekly Checklist, a marker of a support note and where you stopped in a story or a meditation. The Sunday letter is written by Mama Bloom AI only when you open it, with Mama Bloom+ in full and without it as a first page, one letter each week; our servers keep a weekly mark for each iPhone for up to 9 days (Sections 6 and 7). What Mama Bloom remembers: forgetting a person or everything, notes set aside after a change of your journey stage, and notes kept on this iPhone without being used while saved-context sharing is off; a copy of your records no longer brings back a person you asked Mama Bloom to forget on the same iPhone (Sections 6 and 7). Actions in the chat for Mama Bloom+ members with saved-context sharing on: a breathing exercise, a meditation or an article suggested as a card, a mood check-in logged when you name your mood, an affirmation saved; our server keeps a single-use record for up to 5 minutes for each step (Sections 6 and 7). A message that contains words that suggest you may need support is answered even when you have used up your messages for the day, up to 10 such messages a day, and is counted in a separate daily count (Sections 6 and 7). The file of the "Something small for today" widget and the file of Mama Bloom's other widgets described (Section 7). Corrected: the device identifier used for rate limiting is linked to your account on our servers; the records that hold it for rate limiting expire within 48 hours, not 24; the records for Apple's App Attest check and for the link to your account keep it for up to 90 days after its last use, and the record of your install's copy of the bundled wellness corpus until you delete your account; and the time-zone offset is limited to ±14 hours, not ±24 (Sections 6 and 7). Also: the opening line of a proactive note and the letters after your first 7, 30 and 100 days described as they work now, including that their AI-written text is removed when you turn saved-context sharing off, as is what Mama Bloom AI wrote for you from your saved context in the Library and the Morning Check-In (Sections 6 and 9); Anthropic's Claude models named without a version number, and support shown if the model declines to check a message (Section 6 and the Wellness Disclaimer); turning Held on or off named among the analytics signals; the Batch API paragraph no longer names the Sunday letter; a message waiting to be sent while you are offline, your profile photo, favourites and Weekly Checklist kept out of backups, and what a backup can still carry (Section 7); recovery copies and an older iCloud snapshot that can still hold answers to individual PHQ-9 questions from before v1.9.9 (Sections 3 and 9); what account deletion removes on our servers (Sections 7, 9 and 10); Iceland and Norway named beside the EU and the UK in Section 8; Section 13 renamed "Service providers"; the Terms of Use name every country where Mama Bloom is offered and the right place to delete your account; they call the AI Mama Bloom AI and say how far our liability goes and when we tell you about a data breach, as Section 11 does. Sections 3, 6, 7, 8, 9, 10, 13 and 14, the Wellness Disclaimer and the Terms of Use updated. Renewed acknowledgement is required.

Version 1.4.9 — October 6, 2026
Material update. Apple Health: every type Mama Bloom asks to read or save is now named (Section 3); Mama Bloom no longer asks to read menstrual flow, ovulation test results, weight or blood pressure, and no longer saves the word for your mood to Apple Health; on iOS 27 the Perimenopause Guide, with a permission for the Guide only, can show your menopause stage, save a menopause stage you choose and read when bleeding after menopause was last logged, none of it kept in Mama Bloom's records or sent to AI. Siri and Shortcuts described (Section 6), including the new journal entry through Siri, logging a mood and opening parts of the app. You can bring a copy of your records that you saved yourself into Mama Bloom on a new iPhone; the file is read only on your iPhone, is not encrypted, never brings consents with it, and a copy from another account brings records only (Section 7). The Body & Mind observation in Weekly Insights now uses the cloud AI only when you ask for it, and only while Personalised AI saved-context sharing is on; Weekly Insights shows you, before you ask, what would be sent, and a receipt each time (Section 6). The reflections after you save something, the AI-written notifications and proactive notes, the letters, the memory refresh, the Partner Hub briefings for Mama Bloom+ and requests you make in tools are described, and the full list of what companion chat can send while saved-context sharing is on is given (Section 6). Earlier practices corrected (Section 6): the reflections after you saved a mood check-in, a journal entry or a thought record were sent to the cloud AI with your saved context even while saved-context sharing was off, and before v1.9.7 so were proactive notes, although this policy said otherwise; some tools also sent your first name, journey stage and related details while saved-context sharing was off, and two of them your age, although this policy said your age was never sent; and this policy did not describe that the Weekly Insights observation could use the cloud AI with saved-context sharing off, that the app sent, and our servers kept, the exact number of days since install for analytics, or that some analytics events contained names that can show your journey stage or something about your health. Reflections, proactive notes and the observation now use the cloud AI only while saved-context sharing is on, the observation only at your request, tools add such details only while it is on, and no request contains your age; our servers stopped storing that number on 4 October 2026 and such names on 5 October 2026. The AI Transparency Notice now says where Apple's on-device model is used and that it is not used while Mama Bloom AI is off. Re-enable Data Consent now turns only Mama Bloom AI back on; saved-context sharing and analytics stay off until you turn each on (Section 9). Two analytics signals named (the day band since install, how the app was opened). The one-way recovery of a pre-v1.8 iCloud snapshot is described as it runs, on the iPhone that saved it. Section 7 states plainly that records are excluded from iCloud and computer backups; Mama Bloom no longer keeps your answers to the individual PHQ-9 questions (Sections 3 and 9); the company's postal address added to Sections 1 and 15. The countries where Mama Bloom is offered are listed in full (Scope), and Section 9 gives you the same rights in seven European countries outside the EU, the EEA and the UK. Anthropic's retention corrected: earlier versions gave 30 days as a limit; Section 7 now says when Anthropic keeps requests longer (Sections 3, 6, 6a and 7). Our AI provider corrected: earlier versions named "Anthropic, Inc." (San Francisco) and only the USA, and said that, for EU and UK users, Anthropic's Standard Contractual Clauses covered the transfer of AI requests; our contract is with Anthropic Ireland, Limited (Dublin, Ireland), Anthropic stores requests in the USA, where Anthropic's US companies, such as Anthropic, PBC, can access and process them, and Anthropic may also process a request in other countries; Anthropic's published terms do not say which safeguard covers that processing (Sections 6, 6a, 8, 9, 12 and 13). Mama Bloom AI is now for users aged 18 and over: Mama Bloom asks whether you are 18 or older before you use it, unless the year of birth you entered shows it, and until you answer, Mama Bloom AI writes nothing for you; if you are under 18, it stays off, and everything else, including crisis support, works as before (Sections 2, 3, 6 and 9). The Scope, Sections 1, 2, 2a, 3, 6, 6a, 7, 8, 9, 12, 13, 15, the Attributions & Licences and the Wellness Disclaimer updated. Renewed acknowledgement is required.

Version 1.4.8 — September 6, 2026
Material conversation-memory update: at the end of a companion conversation (typed or spoken), and only with Personalised AI saved-context sharing on, your own messages may be sent once more to Anthropic so a short memory note can be written from your own words, under the conversation's own terms and retention (Section 6). Notes live in protected storage on this device, are AI-written and can be wrong, show your quoted words, and can be forgotten; first names from that request are only offered and join the people list only on Remember; a gentle note for a day you named is one local, opt-in notification; the opening line of a new conversation may refer to what you said last time and is composed on your device. Sections 3, 7 and 12 updated accordingly. Renewed acknowledgement is required.

Version 1.4.7 — August 30, 2026
Editorial correction and a returning feature: three passages (Sections 6, 9, and the AI Transparency Notice) still described companion chat as sending only the current message and now match the v1.4.5 conversation update (the recent messages of your conversation are sent; saved app context stays gated by Personalised AI). Apple Journaling Suggestions disclosed again in Section 6 (Journal composer; on-device picker; only the tapped moment's title and, where present, its photo enter your entry). Daily Pack on-device fallback disclosed in Section 6 (Apple's on-device model may write a failed Morning Edition on your iPhone; nothing additional leaves the device). No new processing purpose, party, or data category — no re-acknowledgement required.

Version 1.4.6 — August 26, 2026
Account recovery transparency: for email accounts our servers now keep a one-way code (hash) of your account email so a lost device no longer means a lost account; recovery uses a six-digit email code. Nothing new leaves your device in chat, no new third parties are involved, and no new consent is required.

Version 1.4.5 — August 25, 2026
Conversation update: companion chat now includes the recent messages of your current conversation in every request, so replies can follow the conversation — with Personalised AI saved-context sharing on or off. Saved app context (first name, journey stage, journal excerpts, PHQ band, memory notes) is still included only with Personalised AI turned on. Re-acknowledgement is required.

Version 1.4.4 — August 13, 2026
Material storage and processing update: current wellness and baby records are local-only; a legacy encrypted iCloud snapshot is recovered once and deleted only after a verified local commit, with at most a record-free account marker retained. Local-only records and device-bound sign-in credentials do not transfer to a replacement phone; Section 7 says so plainly and points to the data export. Voice recognition is hard on-device with no server fallback. Minimal companion mode sends only the current message text; consented saved context is bounded. PHQ exact score, question 9, and answers never leave the device; only a derived band may enter saved context. The inactive user-journal bulk-upload path and controls are not part of v1.8. Renewed acknowledgement is required.

Version 1.4.3 — August 13, 2026
Material baby-AI transparency update: companion-chat baby context is now explicit; dedicated Feeding Q&A and Little Days sleep-review requests have exact field-level receipts and require acknowledgement of this update before sending. Personalised AI context sharing remains optional.

Version 1.4.2 — August 11, 2026
Retention wording for AI features corrected to state Anthropic's standard up-to-30-day window (practice unchanged); Night Orchard sound-bed provenance added to Attributions (AI-generated with OpenAI tools).

Version 1.4.1 — July 20, 2026
Minimum age updated from 18 to 16 (Art. 8 GDPR digital-consent age in Germany).

Version 1.4.0 — June 23, 2026
Geographic scope extended to the United States, Australia, and New Zealand; per-jurisdiction rights and regulators added to Section 9. Material change — notified in-app with renewed acceptance.

Version 1.3.5 — June 10, 2026
Data-minimisation and transparency: the AI context no longer includes your age; Section 6 now explicitly enumerates your first name and country (signposting localisation) among the data sent to Anthropic during chat.

Version 1.3.4 — June 4, 2026
Clarified the Anthropic Files journal-upload feature is currently inactive (no journal corpus uploaded); disclosed ElevenLabs as an offline voice-content supplier (no user data sent); trimmed the Terms to EU+UK scope; added explicit Art. 9 consent wording at sign-up, a persistent AI indicator in chat, and a fertility-estimate awareness caveat; removed the discontinued EU ODR platform reference from the Impressum. Removed the Apple Journaling Suggestions disclosure (feature withdrawn in build 57).

Version 1.2 — April 18, 2026
Disclosed the following data flows that shipped since v1.1:

• Anthropic Files storage for the bundled wellness corpus (no user data)
• Opt-in Anthropic Files upload of your last 90 days of journal entries for Sunday Letter citations, with one-tap /api/files-forget deletion
• Photo Label analysis (photo not stored by the proxy; Anthropic standard commercial API retention up to 30 days; no model training; only a hash prefix and limited operational metadata in proxy logs)
• Voice-first mode (on-device transcription; only text is sent)
• Parallel Haiku crisis classifier (severity band + category only; no message text stored)
• Proactive Mama Bloom nudges with Haiku-generated opening lines (categorical context only)
• On-device named-people memory via Apple NLTagger (compact name/role/count list sent only when AI context sharing is enabled)
• Cost and token telemetry shown on-device; categorical analytics events only
• Structured tool_choice outputs for select Haiku classifier calls
• Anthropic Batch API for Daily Pack, Sunday Letter, and the weekly memory pass
• Ephemeral 1-hour prompt caching on stable content blocks (server-side only)
• Added Upstash to the sub-processor list (rate-limiting and analytics KV)

Version 1.1 — April 15, 2026
Added in-app support ticket flow via Resend; refined retention periods; clarified analytics consent.

v1.3 — 11 May 2026: Geographic scope tightened to EU + UK only. Added Section 1a (UK Representative — Prighter Group, Business ID 19873577792). Added DPA 2018 + DUAA 2025 + BDSG + TTDSG statutory references. Removed former Sections 10–13 (CCPA/CPRA, APPI, PIPA, Other Jurisdictions). Company status update (Mama Bloom UG now fully registered, HRB 47918 AG Dresden; "i.G." removed).

v1.3.1 — 17 May 2026: Named Upstash, Inc. (USA) explicitly as a sub-processor in Section 6 (Vercel KV is operated on Upstash Redis). Art. 13(1)(e) / 14(1)(e) GDPR full-recipient disclosure now aligned with the Children's Code self-assessment and the German DPIA summary which already named Upstash. SCCs + UK IDTA already in force.

v1.3.2 — 21 May 2026: Dedicated privacy contact email privacy@mamabloom.app introduced (replaces support@mamabloom.app for data-protection inquiries only). Controller telephone +49 152 5826 2078 published alongside the email per Art. 13(1)(a) GDPR best practice. Privacy Policy, RoPA, TOM, DPIA and the Prighter UK Representative dashboard aligned on the new contact channel.

v1.3.3 — 28 May 2026: Support ticket on-device cache disclosure added to Section 7 (rolling last-20 ticket references; message body never cached; included in Art. 15 / 20 export and erased on Art. 17 deletion). App Attest staged-rollout date refreshed (DISABLE_ATTEST_UNTIL 2026-05-27 → 2026-08-01; raw-body verification remained deployment-gated; TLS, SPKI pinning and legacy app-secret request signing remained active, while body-hash enforcement was not active).

15. Contact#

Mama Bloom UG (haftungsbeschränkt)
Oskarstrasse 14, 01219 Dresden, Germany
Email: support@mamabloom.app
Registered in Germany — HRB 47918, Amtsgericht Dresden.

About this website#

This page is the canonical privacy policy and is also the URL Apple App Store reviewers are referred to. The website itself sets no cookies, embeds no analytics or advertising scripts, and collects no personal data through forms. All fonts are self-hosted — no Google Fonts or Adobe Fonts requests are made.

Our hosting provider keeps standard HTTP server logs (IP, user agent, timestamp, response code) for security and operational reasons under Art. 6(1)(f) GDPR (legitimate interest). We do not analyse or share these logs.

Browser storage. The website uses one strictly-necessary HTML5 localStorage key: your language choice (mamabloom-lang). That is the entirety of the client-side storage we set. It contains no personal data, is never transmitted to our server, and is considered strictly necessary under § 25 (2) Nr. 2 TDDDG (formerly TTDSG) and the corresponding ePrivacy Directive carve-out. No consent banner is shown because no consent-requiring storage exists. You can clear it any time via your browser’s site settings.

Geltungsbereich: Diese Datenschutzerklärung gilt für alle, die Mama Bloom nutzen, unabhängig von deinem Standort. Mama Bloom wird im App Store in der Europäischen Union, in Island und Norwegen, im Vereinigten Königreich, in den USA, in Australien und Neuseeland sowie in Bosnien und Herzegowina, im Kosovo, in der Republik Moldau, in Montenegro, in Nordmazedonien, in Serbien und in der Ukraine angeboten. Unabhängig von deinem Standort gelten stets die zwingenden Verbraucher- und Datenschutzrechte deines Landes; die englische Fassung dieser Richtlinie enthält die in den USA, Australien und Neuseeland geltenden lokalen Datenschutzrechte.

Anwendbares Recht (Deutschland/EU): DSGVO (Verordnung (EU) 2016/679); Bundesdatenschutzgesetz (BDSG); Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG); ePrivacy-Richtlinie (2002/58/EG) in nationaler Umsetzung.

Anwendbares Recht (Vereinigtes Königreich): UK GDPR; Data Protection Act 2018 (DPA 2018); Data (Use and Access) Act 2025 (DUAA 2025); Privacy and Electronic Communications Regulations 2003 (PECR).

Anwendbares Recht (USA): California Consumer Privacy Act in der durch den CPRA geänderten Fassung (CCPA/CPRA); weitere umfassende bundesstaatliche Verbraucherdatenschutzgesetze (u. a. Virginia VCDPA, Colorado CPA, Connecticut CTDPA, Utah UCPA, Texas TDPSA, Oregon OCPA, Montana), sobald sie in Kraft treten; sowie die Gesundheitsdatengesetze — Washington My Health My Data Act (MHMDA), Nevada SB 370 und die Gesundheitsdaten-Änderungen des Connecticut Data Privacy Act (SB 3). Für Einwohner:innen Washingtons gilt zusätzlich unsere gesonderte Consumer Health Data Privacy Policy.

Anwendbares Recht (Australien): Privacy Act 1988 (Cth) und die 13 Australian Privacy Principles (APPs) in der durch den Privacy and Other Legislation Amendment Act 2024 (Cth) geänderten Fassung.

Anwendbares Recht (Neuseeland): Privacy Act 2020 und die 13 Information Privacy Principles (IPPs).

Neu in v1.4.11 (17. Oktober 2026): Sechs kleine Angaben liegen nicht mehr in den gewöhnlichen App-Daten, die eine Sicherung auf ein anderes iPhone mitnehmen kann.

• Dein Geburtsjahr, die Briefe, die Mama Bloom KI nach deinen ersten 7, 30 und 100 Tagen geschrieben hat, und die Markierung, dass dir Mama Bloom nach einem PHQ-9-Check eine Nachricht zur Unterstützung gesendet hat, werden jetzt im geschützten Speicher dieses iPhones aufbewahrt, den keine Sicherung mitnimmt; dein Geburtsjahr bleibt außerdem wie bisher im Nachweis deiner Einwilligung im Schlüsselbund dieses iPhones (Abschnitt 7).
• Ob „Gehalten“ eingeschaltet ist und wann Mama Bloom es zuletzt vorgeschlagen hat, ob Mama Bloom zu deiner Phase nichts mehr zeigt und schickt und für welche Jahrestage eines Verlusts dich schon eine Nachricht erreicht hat, wird jetzt im Schlüsselbund dieses iPhones aufbewahrt. Nur dieses iPhone kann lesen, was dort liegt; eine Sicherung kann es nur auf dieses iPhone zurückbringen, und iOS lässt Mama Bloom es auch bei gesperrtem iPhone lesen (Abschnitt 7).
• Diese Angaben bleiben bei deinem Konto, wenn du dich abmeldest. Löschst du die App, bleiben sie jetzt auf diesem iPhone, wie bisher schon deine Phase, der Nachweis deiner Einwilligung und deine Anmeldedaten, und gelten wieder, wenn Mama Bloom auf diesem iPhone neu installiert wird. „Mein Konto löschen“ und „Alle meine Daten löschen“ entfernen sie, ebenso das Löschen aller Inhalte und Einstellungen dieses iPhones (Abschnitt 7).

Abschnitt 7 wurde aktualisiert. Kein neuer Verarbeitungszweck, keine neue Partei, keine neue Datenkategorie — keine erneute Bestätigung erforderlich.

Neu in v1.4.10 (13. Oktober 2026): Wesentliche Aktualisierung — die Bibliothek und der Morgen-Check-in für Mitglieder von Mama Bloom+ bei eingeschaltetem Teilen gespeicherter Kontexte, ein Sonntagsbrief, der erst entsteht, wenn du ihn öffnest, mehr Möglichkeiten, zu bestimmen, was Mama Bloom sich merkt, und einige Korrekturen.

• Die Bibliothek und der Morgen-Check-in (Mama Bloom+): Bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI können die Anfragen für deine Artikel unter „Für dich“ und deinen täglichen Text, für die Notiz und die Reflexionsfrage zu einem Artikel, für die Notiz zu einem Bereich und für die Notiz im Morgen-Check-in deinen gespeicherten Kontext enthalten, auch für die Notiz im Morgen-Check-in, die Mama Bloom vorbereitet, wenn du die App morgens öffnest. Abschnitt 6 nennt, was jede Anfrage enthält. Bei ausgeschaltetem Teilen gespeicherter Kontexte, und in der Bibliothek ohne Mama Bloom+, enthalten diese Anfragen nur ein Thema, einen Titel oder das heutige Datum und die Sprache der App.
• Der Sonntagsbrief: Mama Bloom KI schreibt deinen Sonntagsbrief jetzt erst, wenn du ihn öffnest: mit Mama Bloom+ den ganzen Brief, ohne Mama Bloom+ seine erste Seite. Jede Woche, von Sonntag bis Samstag, kann nur ein Brief entstehen (Abschnitt 6).
• Was Mama Bloom sich merkt: Mama Bloom nimmt eine Person, die sie vergessen soll, auf dem iPhone, auf dem du darum gebeten hast, nicht mehr wieder auf, auch nicht aus einer Kopie deiner Datensätze, und du kannst Mama Bloom jetzt alles vergessen lassen, was sie sich merkt. Notizen, die nach einer Änderung deiner Phase möglicherweise nicht mehr passen, werden beiseitegelegt, und du entscheidest, was mit ihnen geschieht. Bei ausgeschaltetem Teilen gespeicherter Kontexte behält Mama Bloom ihre Notizen auf diesem iPhone, ohne sie zu nutzen (Abschnitte 6 und 7).
• Aktionen im Chat (Mama Bloom+): Bei eingeschaltetem Teilen gespeicherter Kontexte kann Mama Bloom KI eine Atemübung, eine Meditation oder einen Artikel als Karte unter ihrer Antwort vorschlagen, die sich erst öffnet, wenn du sie antippst, einen Stimmungs-Check-in eintragen, wenn du deine Stimmung nennst, und eine Affirmation speichern, die du behalten möchtest (Abschnitte 6 und 7).
• Nachrichten, bei denen du Unterstützung brauchen könntest: Enthält eine Nachricht an Mama Bloom KI Worte, die darauf hindeuten, dass du Unterstützung brauchen könntest, antwortet Mama Bloom KI auch dann, wenn deine Nachrichten für heute aufgebraucht sind, für bis zu 10 solcher Nachrichten am Tag, und die Nachricht wird nicht auf dein tägliches Nachrichtenlimit angerechnet (Abschnitte 6 und 7).
• Das Widget „Etwas Kleines für heute“: Eine kleine Datei auf diesem iPhone lässt das Widget seine Zeile zeigen, ohne dass du Mama Bloom öffnest (Abschnitt 7).
• Korrekturen: Frühere Fassungen sagten, die Gerätekennung für das Rate-Limiting lasse sich nicht auf deine Identität zurückführen und werde nach 24 Stunden gelöscht. Unsere Server verknüpfen sie mit deinem Konto, damit die Löschung deines Kontos jedes iPhone erreicht, das du genutzt hast, und einige Datensätze behalten sie länger, zum Beispiel die für Apples App-Attest-Prüfung und für die Verknüpfung mit deinem Konto bis zu 90 Tage nach ihrer letzten Verwendung und der Datensatz zur Kopie des gebündelten Wellness-Korpus für deine Installation, bis du dein Konto löschst (Abschnitte 6 und 7). Vor v1.9.9 enthielten bei eingeschaltetem Teilen gespeicherter Kontexte die Anfragen für die Artikel unter „Für dich“, den täglichen Text, die Notiz und die Reflexionsfrage zu einem Artikel, die Notiz zu einem Bereich und die morgens vorbereitete Notiz im Morgen-Check-in deinen gespeicherten Kontext, und diese Datenschutzerklärung hat sie nicht beschrieben; ebenso wenig hat sie die Notiz im Morgen-Check-in beschrieben, die mit deinem gespeicherten Kontext geschrieben wird, wenn du mit Mama Bloom+ die Notiz des Tages im Morgen-Check-in öffnest. Vor v1.9.9 konnte Mama Bloom KI bei eingeschaltetem Teilen gespeicherter Kontexte für Mitglieder von Mama Bloom+ im Begleiter-Chat außerdem mehr nachsehen, als Abschnitt 6 nannte: bis zu 5 Tagebucheinträge mit jeweils bis zu 300 Zeichen, bis zu 14 Stimmungs-Check-ins mit ihren Notizen und bis zu 7 Nächte Schlaf mit ihrer Qualität, jeweils mit Datum (Abschnitt 6). Vor v1.9.10 ließen „Alle meine Daten löschen“ und „Mein Konto löschen“ auf diesem iPhone die Schritte und Häkchen deiner Wochencheckliste, eine Markierung, dass Mama Bloom dir nach einem PHQ-9-Check eine Nachricht zur Unterstützung gesendet hatte, und die Stelle zurück, an der du in einer Geschichte oder Meditation aufgehört hattest; das alles wird jetzt mit deinen Daten gelöscht (Abschnitt 9). Frühere Fassungen sagten außerdem, deine Empfehlungsdaten würden bei Kontolöschung gelöscht; unsere Server haben sie damals nicht gelöscht, und sie liefen bis zu 90 Tage nach ihrer letzten Änderung ab. Jetzt werden sie mit deinem Konto gelöscht (Abschnitt 10b).
• Außerdem aktualisiert: was die erste Zeile einer proaktiven Nachricht enthält und die Briefe nach deinen ersten 7, 30 und 100 Tagen (Abschnitte 6 und 9); was Mama Bloom von diesem iPhone entfernt, wenn du das Teilen gespeicherter Kontexte ausschaltest (Abschnitt 9); der Krisenklassifikator und der KI-Transparenzhinweis nennen die Claude-Modelle von Anthropic jetzt ohne Versionsnummer (Abschnitt 6 und der Gesundheitliche Haftungsausschluss); das Ein- und Ausschalten von „Gehalten“ ist unter den Analysesignalen genannt (Abschnitt 6); der Absatz zur Batch-API nennt den Sonntagsbrief nicht mehr, der nie auf diesem Weg gesendet wird (Abschnitt 6); eine Nachricht, die du sendest, während dein iPhone offline ist, die anderen Widgets von Mama Bloom und was eine Sicherung mitnimmt, jetzt ohne dein Profilfoto, deine Favoriten und deine Wochencheckliste (Abschnitt 7); Wiederherstellungskopien und ein älterer iCloud-Schnappschuss, die noch Antworten auf einzelne PHQ-9-Fragen aus der Zeit vor v1.9.9 enthalten können (Abschnitte 3 und 9); welche Datensätze auf unseren Servern gelöscht werden, wenn du dein Konto löschst (Abschnitte 7, 9 und 10); die Garantien für Übermittlungen nennen Island und Norwegen neben der EU und dem Vereinigten Königreich (Abschnitt 8); und Abschnitt 13 heißt jetzt „Dienstleister“.

Die Abschnitte 3, 6, 7, 8, 9, 10, 11, 13 und 14, der Gesundheitliche Haftungsausschluss und die Nutzungsbedingungen wurden aktualisiert. Die Anfragen der Bibliothek und des Morgen-Check-ins für Mitglieder von Mama Bloom+ nutzen gespeicherten Kontext jetzt auf eine Weise, die frühere Fassungen dieser Datenschutzerklärung nicht beschrieben haben; daher ist eine erneute Bestätigung erforderlich.

Neu in v1.4.9 (6. Oktober 2026): Wesentliche Aktualisierung — Apple Health vollständig beschrieben, einschließlich zweier neuer Typen zur Menopause; Siri; deine Datensätze auf einem neuen iPhone; und Korrekturen dazu, was frühere Fassungen dieser Datenschutzerklärung über einige KI-Anfragen und Analysen gesagt haben.

• Apple Health: Abschnitt 3 nennt jetzt jeden Typ, den Mama Bloom lesen oder speichern möchte. Mama Bloom bittet nicht mehr darum, Menstruationsstärke, Ergebnisse von Ovulationstests, Gewicht oder Blutdruck zu lesen, und speichert bei einem Stimmungs-Check-in das Wort für deine Stimmung nicht mehr mit. Unter iOS 27 und nur, wenn du es im Perimenopause-Guide erlaubst, und nur für den Guide, kann Mama Bloom deine Phase der Menopause aus Apple Health anzeigen, eine von dir gewählte Phase der Menopause speichern und Blutungen nach der Menopause nur lesen, um zu zeigen, wann sie zuletzt erfasst wurden; nichts davon wird in den eigenen Datensätzen von Mama Bloom gespeichert oder an eine KI gesendet.
• Siri: Du kannst jetzt über Siri einen Tagebucheintrag hinzufügen, und Abschnitt 6 beschreibt außerdem, wie du über Siri und Kurzbefehle eine Stimmung einträgst und Teile der App öffnest; was du Siri sagst, verarbeitet Apple, und Siri kann Einträge hinzufügen, aber nie abrufen oder vorlesen.
• Ein neues iPhone: Du kannst eine Kopie deiner Datensätze als Datei speichern und sie auf einem neuen iPhone in Mama Bloom einlesen; Mama Bloom liest die Datei nur auf deinem iPhone und sendet sie nie an uns; die Datei ist nicht verschlüsselt, und sie bringt nie Einwilligungen mit (Abschnitt 7).
• Mama Bloom KI und dein Alter: Mama Bloom KI ist jetzt für Nutzer ab 18 Jahren bestimmt. Bevor du sie nutzt, fragt Mama Bloom dich, ob du 18 oder älter bist, es sei denn, dein angegebenes Geburtsjahr zeigt es; bis du antwortest, schreibt Mama Bloom KI nichts für dich. Wenn du 16 oder 17 bist, bleibt alles andere in Mama Bloom, einschließlich der Krisenhilfe, wie es ist (Abschnitte 2, 3 und 6).
• Wöchentliche Einblicke: Die kurze Beobachtung „Körper & Geist“ für Mitglieder von Mama Bloom+ nutzt die Cloud-KI jetzt nur noch, wenn du darum bittest, und nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI; „Wöchentliche Einblicke“ zeigt dir, bevor du darum bittest, was gesendet würde, und nach jeder von der Cloud-KI geschriebenen Beobachtung siehst du einen Datenbeleg (Abschnitt 6).
• Korrekturen: Vor v1.9.9 wurden, wenn du einen Stimmungs-Check-in, einen Tagebucheintrag oder ein Gedankenprotokoll gespeichert oder im Profil um eine tiefere Einsicht gebeten hast, das Gespeicherte, dein Vorname, deine Phase und nach der Geburt der Name deines Babys für eine Reflexion an die Cloud-KI gesendet, bei einer Reflexion zur Stimmung außerdem deine letzten 14 Check-ins mit ihren Notizen und bei einer Reflexion zum Tagebuch deine letzten 5 Stimmungswörter, auch bei ausgeschaltetem Teilen gespeicherter Kontexte; vor v1.9.7 galt das auch für proaktive Nachrichten, deren Anfragen außerdem Daten und Namen enthalten konnten, die du gespeichert hast, etwa das Datum eines Verlusts und den Namen, den du deinem Baby gegeben hast. Vor v1.9.9 haben außerdem einige Werkzeuge deinen Vornamen, deine Phase und zugehörige Angaben auch bei ausgeschaltetem Teilen gespeicherter Kontexte gesendet, etwa den Namen und die Wachstumsmaße deines Babys, Angaben zu einem Schwangerschaftsverlust, deine letzten Stimmungen mit ihren Notizen, deine Ernährung und Allergien oder deine Schlafdurchschnitte; zwei davon haben auch dein Alter gesendet, und in den USA hat eines davon solche Angaben sogar ohne deine Einwilligung in das Teilen von Verbrauchergesundheitsdaten gesendet. Diese Datenschutzerklärung sagte, solcher Kontext werde nur bei eingeschaltetem Teilen gespeicherter Kontexte gesendet, dein Alter werde nie gesendet und für proaktive Nachrichten würden nur allgemeine Kategorien übermittelt. Sie hat außerdem nicht beschrieben, dass die Cloud-KI die Beobachtung unter „Wöchentliche Einblicke“ auch bei ausgeschaltetem Teilen gespeicherter Kontexte schreiben konnte, dass die App für Analysen die genaue Zahl der Tage seit der Installation gesendet hat, die unsere Server gespeichert haben, und dass manche Analyseereignisse Namen enthielten, die deine Phase oder etwas über deine Gesundheit zeigen können, etwa den Namen eines Tools, das du geöffnet hast. Reflexionen, proaktive Nachrichten und die Beobachtung nutzen die Cloud-KI jetzt nur noch bei eingeschaltetem Teilen gespeicherter Kontexte, die Beobachtung nur auf deine Anfrage, Werkzeuge fügen solche Angaben nur noch bei eingeschaltetem Teilen hinzu, und keine Anfrage enthält dein Alter; unsere Server haben am 4. Oktober 2026 aufgehört, diese Zahl zu speichern, und am 5. Oktober 2026, solche Namen zu speichern (Abschnitt 6).
• Aufbewahrung bei Anthropic, korrigiert: Frühere Fassungen sagten an mehreren Stellen, Anthropic könne KI-Anfragen bis zu 30 Tage aufbewahren. Dreißig Tage sind der Normalfall, keine Obergrenze: Stufen die Sicherheitssysteme von Anthropic eine Anfrage als Verstoß gegen die Nutzungsrichtlinie von Anthropic ein, kann Anthropic die Anfrage und die Antwort bis zu 2 Jahre und die Sicherheitsbewertungen bis zu 7 Jahre aufbewahren; wenn das Gesetz es verlangt, auch länger (Abschnitt 7).
• Unser KI-Anbieter, korrigiert: Frühere Fassungen nannten „Anthropic, Inc.“ in San Francisco und nur die USA und sagten, dass die Übermittlung deiner KI-Anfragen für Nutzer in der EU und im Vereinigten Königreich auf den Standardvertragsklauseln beruht. Weil Mama Bloom in der EU ansässig ist, ist unser Vertragspartner für Mama Bloom KI das irische Unternehmen von Anthropic, Anthropic Ireland, Limited in Dublin. Anthropic speichert deine KI-Anfragen in den USA, wo die US-Unternehmen von Anthropic, etwa Anthropic, PBC, auf sie zugreifen und sie verarbeiten können; Anthropic kann eine Anfrage auch in anderen Ländern verarbeiten. Die veröffentlichten Bedingungen von Anthropic sagen nicht, welche Garantie für deine Anfragen in den USA und diesen anderen Ländern gilt; wir erklären, was die Bedingungen enthalten (Abschnitte 8 und 13).
• Außerdem aktualisiert: wie Apples Modell auf dem Gerät genutzt wird (nie, solange Mama Bloom KI ausgeschaltet ist); wenn du Mama Bloom KI nach dem Widerruf der Dateneinwilligung wieder einschaltest, werden das Teilen gespeicherter Kontexte und die Analysen nicht mehr mit eingeschaltet (Abschnitt 9); zwei Signale der Nutzungsanalyse, jetzt ausdrücklich genannt: ungefähr wie viele Tage seit der Installation vergangen sind (in Spannen) und wie du die App geöffnet hast; die vollständige Liste dessen, was der Begleiter-Chat bei eingeschaltetem Teilen gespeicherter Kontexte senden kann, und was die Reflexionen, KI-geschriebenen Benachrichtigungen, Briefe, die Aktualisierung des Gedächtnisses und Anfragen in Werkzeugen enthalten (Abschnitt 6); wie ein älterer, vor v1.8 gespeicherter iCloud-Schnappschuss einmalig auf dem iPhone wiederhergestellt werden kann, das ihn gespeichert hat; ein klarer Satz dazu, dass deine Datensätze vom iCloud-Backup und von Sicherungen auf einem Computer ausgenommen sind; dass Mama Bloom deine Antworten auf die einzelnen PHQ-9-Fragen nicht mehr aufbewahrt; die Partner-Hub-Briefings für Mitglieder von Mama Bloom+; in welchen Ländern Mama Bloom angeboten wird (Geltungsbereich) und dieselben Rechte für dich in sieben europäischen Ländern außerhalb der EU, des EWR und des Vereinigten Königreichs (Abschnitt 9); in dieser deutschen Fassung durchgehend die Begriffe der App („Teilen gespeicherter Kontexte“, „Ruheherzfrequenz“, „Trainingseinheiten“); und die Postanschrift der Gesellschaft (Abschnitte 1 und 15).

Der Geltungsbereich, die Abschnitte 1, 2, 2a, 3, 4, 6, 6a, 7, 8, 9, 13 und 15, die Quellenangaben & Lizenzen und der Gesundheitliche Haftungsausschluss wurden aktualisiert. Mama Bloom liest jetzt zwei neue Arten von Gesundheitsdaten — daher ist eine erneute Bestätigung erforderlich.

Neu in v1.4.8 (6. September 2026): Wesentliche Aktualisierung zum Gesprächsgedächtnis. Am Ende eines Begleiter-Gesprächs (getippt oder gesprochen) und nur bei aktivierter Freigabe gespeicherter Kontexte für personalisierte KI können deine eigenen Nachrichten ein weiteres Mal an Anthropic gesendet werden, damit die KI aus deinen eigenen Worten eine kurze Gedächtnisnotiz schreibt — zu denselben Bedingungen und mit derselben Aufbewahrung wie das Gespräch selbst. Notizen bleiben geschützt auf diesem Gerät, sind KI-geschrieben und können falsch sein, zeigen deine zitierten Worte auf dem Bildschirm „Was Mama Bloom weiß“ und können dort vergessen werden. Vornamen aus dieser Anfrage werden dir nur vorgeschlagen und kommen erst mit „Merken“ auf die Personenliste; eine kleine Nachricht für einen von dir genannten Tag ist eine einzelne lokale Mitteilung, die nur nach deiner Zustimmung eingeplant wird; die erste Zeile eines neuen Gesprächs kann sich auf das beziehen, was du beim letzten Mal gesagt hast, formuliert auf deinem Gerät (Abschnitt 6; Abschnitte 3, 7 und 12 aktualisiert). Dies ist eine neue Nutzung deines Gesprächs, daher ist eine erneute Bestätigung erforderlich.
Neu in v1.4.7 (30. August 2026): Redaktionelle Korrekturen und eine zurückkehrende Funktion. Drei Passagen dieser In-App-Erklärung (Abschnitte 6 und 9 sowie der KI-Transparenzhinweis) beschrieben den Begleiter-Chat noch so, als würde nur deine aktuelle Nachricht gesendet; sie entsprechen jetzt dem Gesprächs-Update aus v1.4.5 — gesendet werden die letzten Nachrichten deines aktuellen Gesprächs, und gespeicherter App-Kontext bleibt an die personalisierte KI gebunden. Apple Journaling Suggestions kehrt in den Tagebuch-Editor zurück (offengelegt in Abschnitt 6): der Picker läuft auf deinem Gerät, und nur der Moment, den du ausdrücklich antippst — sein Titel und, falls vorhanden, sein Foto — gelangt in deinen Eintrag. Kann eine Premium-Morgenausgabe nicht abgeschlossen werden, darf Apples Modell auf dem Gerät diese Ausgabe jetzt vollständig auf deinem iPhone schreiben; dabei verlässt nichts zusätzlich dein Gerät. Redaktionell und additiv — keine erneute Bestätigung erforderlich.

Neu in v1.4.6 (26. August 2026): Transparenz zur Konto-Wiederherstellung. Für E-Mail-Konten speichern unsere Server jetzt einen Einwegcode (Hash) deiner Konto-E-Mail, verknüpft mit deinem Konto, damit ein verlorenes Gerät nicht mehr den Verlust des Kontos bedeutet; die Wiederherstellung erfolgt über einen sechsstelligen E-Mail-Code. Die Adresse selbst wird nicht dauerhaft gespeichert, der Link wird mit deinem Konto gelöscht und nie für Marketing genutzt. In Chats verlässt nichts Neues dein Gerät, es sind keine neuen Drittparteien beteiligt, und es ist keine neue Einwilligung erforderlich. Keine wesentliche Änderung.

Neu in v1.4.5 (25. August 2026): Gesprächs-Update. Der Begleiter-Chat sendet jetzt bei jeder Anfrage die letzten Nachrichten deines aktuellen Gesprächs, damit Antworten dem Gespräch folgen können — unabhängig von der Freigabe gespeicherter Kontexte für personalisierte KI. Gespeicherter App-Kontext (Vorname, Phase, Tagebuchauszüge, PHQ-Kategorie, Gedächtnisnotizen) wird weiterhin nur bei aktivierter personalisierter KI einbezogen. Wesentliche Änderung — erneute Bestätigung wird angefordert.

Neu in v1.4.4 (13. August 2026): Wesentliche Änderung bei Speicherung und Verarbeitung. Aktuelle Wellness- und Baby-Datensätze verbleiben jetzt im geschützten lokalen Speicher und werden nicht mehr mit iCloud synchronisiert. Beim ersten Start kann v1.8 einen früheren verschlüsselten iCloud-Schnappschuss einmalig in den geschützten lokalen Speicher übernehmen; gelöscht wird der Schnappschuss erst nach Prüfung der lokalen Speicherung. Ein datensparsamer iCloud-Key-Value-Marker zur Kontowiederherstellung darf verbleiben, enthält aber keine Wellness-Datensätze. Da diese Datensätze jetzt im geschützten Speicher eines iPhones bleiben und von Sicherungen ausgenommen sind, wandern sie nicht auf ein zweites oder neues Telefon — exportiere deine Daten, bevor du ein Gerät wechselst, löschst oder weitergibst. Sprachtranskription erfordert jetzt die Erkennung auf dem Gerät und hat keine Server-Ausweichlösung. Bei deaktivierter Freigabe gespeicherter Kontexte für personalisierte KI sendet der allgemeine Begleiter-Chat nur den von dir übermittelten aktuellen Nachrichtentext — keinen Vornamen, keine Phase und keinen gespeicherten Verlauf. Bei aktivierter Freigabe darf nur der begrenzte offengelegte Kontext einbezogen werden. PHQ-Antworten, genauer Wert und die Antwort auf Frage 9 verlassen das Gerät nie; nur ein abgeleitetes Wohlbefindensband darf in den freigegebenen gespeicherten Kontext eingehen. Der inaktive Sammel-Upload von Nutzertagebüchern und zugehörige Steuerungen sind nicht Bestandteil von v1.8. Wesentliche Änderung — erneute Bestätigung wird angefordert.

Neu in v1.4.3 (13. August 2026): Wesentliche Transparenzaktualisierung zu Baby-KI. Abschnitt 6 nennt jetzt den optionalen Baby-Kontext im Begleiter-Chat. Der neue Abschnitt 6a enthält genaue Datenbelege für die von dir ausgelösten Mama-Bloom+-Fütterungsfragen und die KI-Schlaflesung in Kleine Tage, einschließlich Verhalten bei deaktiviertem Kontext, Ausschlüssen, Empfängern und Aufbewahrung. Dedizierte Baby-KI-Anfragen pausieren, bis du dieses Update in der App bestätigt hast; die Freigabe gespeicherter Kontexte für personalisierte KI bleibt optional und jederzeit abschaltbar. Wesentliche Änderung — erneute Bestätigung wird angefordert.

Neu in v1.4.2 (11. August 2026): Formulierungen zur Speicherdauer bei KI-Funktionen korrigiert: Passagen, die von sofortigem Verwerfen oder keinerlei Speicherung sprachen, nennen jetzt korrekt das Standard-Aufbewahrungsfenster von Anthropic von bis zu 30 Tagen. Unsere tatsächliche Praxis ist unverändert — die Korrektur macht die Beschreibung präzise. Der Abschnitt Quellenangaben & Lizenzen verzeichnet jetzt, dass die geschichteten Klangflächen des Nachtgartens KI-generierte Audiowerke sind, die mit OpenAI-Werkzeugen für Mama Bloom erstellt wurden. Der TTDSG-Verweis wurde auf das Nachfolgegesetz TDDDG (2024) aktualisiert. Redaktionelle Änderung — keine neuen Verarbeitungszwecke, Rechtsgrundlagen oder Datennutzungen.

Neu in v1.4.1 (20. Juli 2026): Mindestalter für die Nutzung von Mama Bloom von 18 auf 16 Jahre aktualisiert, entsprechend dem digitalen Einwilligungsalter nach Art. 8 DSGVO in Deutschland (16); Altersabfrage und Geburtsjahr-Prüfung in der App nennen jetzt 16. COPPA-Haltung unverändert (keine wissentliche Datenerhebung von Kindern unter 13). Redaktionelle Änderung — keine neuen Verarbeitungszwecke, Rechtsgrundlagen oder Datennutzungen.

Neu in v1.4.0 (23. Juni 2026): Die datenschutzrechtliche Abdeckung wurde zusätzlich zur EU und zum Vereinigten Königreich für die USA, Australien und Neuseeland vorbereitet; dadurch wurden diese App-Store-Storefronts nicht freigeschaltet. Der Geltungsbereich und Abschnitt 9 (Deine Rechte) umfassen jetzt US-Datenschutzrechte auf Bundesstaatenebene (u. a. CCPA/CPRA in Kalifornien und den Washington My Health My Data Act — mit separater Consumer-Health-Data-Erklärung für Washington), Rechte nach dem australischen Privacy Act 1988 / APPs sowie nach dem neuseeländischen Privacy Act 2020 / IPPs, mit den zuständigen Aufsichtsbehörden. Wir bekräftigen: Wir verkaufen oder teilen deine personenbezogenen Daten nicht.

Neu in v1.3.5 (10. Juni 2026): Abschnitt 6 nennt jetzt ausdrücklich deinen Vornamen und dein Land unter den Daten, die beim Chat mit Mama Bloom an Anthropic gesendet werden (beide dienten schon bisher nur der Ansprache bzw. der lokalen Anpassung von Hinweisen); dein Alter wird gar nicht mehr an die KI gesendet.

Zuvor neu in v1.3.4 (4. Juni 2026): Klargestellt, dass die optionale Anthropic-Files-Tagebuch-Upload-Funktion derzeit inaktiv ist — es wird heute kein Tagebuch-Korpus zu Anthropic hochgeladen (die Funktion ist in der App deaktiviert). Hinweis ergänzt, dass einige geführte Audioinhalte (zum Beispiel bestimmte Hypnobirthing- und Schlafcoach-Erzählungen) mit ElevenLabs erstellt und offline eingebettet wurden, ohne dass Nutzerdaten an ElevenLabs gesendet werden. Die Nutzungsbedingungen wurden auf den EU+UK-Geltungsbereich gekürzt (frühere China-/Japan-/Korea-Klauseln entfernt). Ausdrückliche Einwilligungsformulierung nach Art. 9 DSGVO für Gesundheitsdaten am Anmeldebildschirm ergänzt, ein dauerhaftes „KI"-Kennzeichen im Begleiter-Chat (EU-KI-Verordnung Art. 50) sowie ein klarerer Hinweis, dass Angaben zum Fruchtbarkeitsfenster Schätzungen zur Orientierung sind und keine Verhütungs- oder Kinderwunschmethode. Verweis auf die eingestellte EU-Plattform zur Online-Streitbeilegung aus dem Impressum entfernt. Die Offenlegung zu Apple Journaling Suggestions wurde aus Abschnitt 6 entfernt — diese Integration wurde in Build 57 zurückgezogen und war damals nicht Teil der ausgelieferten App.

Was ist neu in v1.3.3 (28. Mai 2026): Offenlegung des lokalen Support-Ticket-Caches (ab Build 55) — eine rollende Liste deiner letzten 20 Ticket-Referenzen (ID, Betreffzeile, Kategorie, Zeitpunkt) wird nun auf dem Gerät gespeichert, damit du die Ticket-Referenz nach Schließen der Support-Ansicht wiederfindest; der eigentliche Nachrichtentext wird NICHT zwischengespeichert, ist im DSGVO-Datenexport (Art. 15 / 20) enthalten und wird bei Kontolöschung (Art. 17) entfernt (siehe Abschnitt 7). App-Attest-Staged-Rollout-Datumsaktualisierung (Build 55) — der temporäre Kill-Switch zur App-Attest-Assertion-Erzwingung wurde von DISABLE_ATTEST_UNTIL = 2026-05-27T23:59:59Z auf 2026-08-01T23:59:59Z verlängert; in dieser Version waren tatsächlich TLS, SPKI-Pinning und die Anfrage-Signierung mit dem App-Secret aktiv; eine HMAC-Bindung an den Body war nicht aktiv und wird hier nicht behauptet.

Was ist neu in v1.3.2 (21. Mai 2026): Dedizierte Datenschutz-Kontaktadresse privacy@mamabloom.app eingeführt (ersetzt support@mamabloom.app ausschließlich für datenschutzrechtliche Anfragen; allgemeiner In-App-Support läuft weiterhin über support@mamabloom.app). Telefonnummer der Verantwortlichen +49 152 5826 2078 wird zusätzlich zur E-Mail-Adresse offengelegt gemäß Best Practice nach Art. 13 Abs. 1 lit. a DSGVO. Datenschutzerklärung, Verarbeitungsverzeichnis, TOM, DSFA und das Prighter UK-Vertreter-Dashboard sind nun einheitlich auf dem neuen Kontaktkanal abgestimmt.

Was ist neu in v1.3.1 (17. Mai 2026): Upstash, Inc. (USA) wurde in Abschnitt 6 ausdrücklich als Sub-Auftragsverarbeiter neben Anthropic, Vercel, Apple und Resend benannt. Die Vercel-KV-Schicht, in der Rate-Limit-Zähler, Idempotenz-Schlüssel, App-Attest-Challenges und eingewilligte Analytics-Aggregate gehalten werden, läuft auf Upstash Redis; Art. 13 Abs. 1 lit. e / 14 Abs. 1 lit. e DSGVO (vollständige Empfängerliste) ist nun erfüllt. SCCs + UK IDTA bereits in Kraft.

Was ist neu in v1.3 (11. Mai 2026): Geografischer Geltungsbereich auf EU + UK beschränkt — die Vorversion adressierte ~30 internationale Rechtsgebiete. Neuer Abschnitt 1a (UK-Vertreterin — Prighter Group) hinzugefügt. Ausdrückliche Verweise auf DPA 2018, DUAA 2025, BDSG und TTDSG ergänzt. Frühere Abschnitte 10–13 (CCPA, APPI, PIPA, weitere Rechtsordnungen) entfernt. Unternehmensstatus aktualisiert (Mama Bloom UG nun handelsregistereingetragen, HRB 47918, AG Dresden).

Vorherige Versionen: v1.3.2 (21. Mai 2026), v1.3.1 (17. Mai 2026), v1.3 (11. Mai 2026), v1.2 (18. April 2026).

1. Verantwortlicher#

Aktueller App-Betreiber:
Mama Bloom UG (haftungsbeschränkt)
Oskarstraße 14, 01219 Dresden, Deutschland
Registriert in Deutschland — HRB 47918, Amtsgericht Dresden.
Verantwortlicher für die Verarbeitung deiner personenbezogenen Daten im Sinne von Art. 4 Nr. 7 DSGVO ist die oben genannte Gesellschaft. Sie wird durch ihre Geschäftsführung vertreten; die gesetzlich vorgeschriebenen Angaben dazu findest du im Impressum (Profil → Rechtliches → Impressum).
Kontakt: support@mamabloom.app

Wir haben keinen Datenschutzbeauftragten benannt. Für alle datenschutzrechtlichen Anfragen wende dich an privacy@mamabloom.app (oder telefonisch +49 152 5826 2078).

1a. Unsere Vertreterin im Vereinigten Königreich#

Wir schätzen deine Privatsphäre und deine Rechte als betroffene Person und haben daher die Prighter Group mit ihren lokalen Partnern als Datenschutzvertreterin und Anlaufstelle für folgende Regionen bestellt:

• Vereinigtes Königreich (UK)

Prighter bietet dir eine einfache Möglichkeit, deine datenschutzrechtlichen Rechte auszuüben (z. B. Auskunfts- oder Löschungsanfragen). Wenn du uns über unsere Vertreterin Prighter kontaktieren oder von deinen Rechten als betroffene Person Gebrauch machen möchtest, besuche bitte:

https://app.prighter.com/portal/19873577792

powered by Prighter

Betroffene aus dem Vereinigten Königreich behalten das Recht, eine Beschwerde direkt beim Information Commissioner's Office (ICO) unter ico.org.uk einzureichen.

2. Mindestalter#

Diese App ist ausschließlich für Nutzer ab 16 Jahren bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. In Übereinstimmung mit dem US-amerikanischen COPPA (Children's Online Privacy Protection Act) erheben wir wissentlich keine Daten von Kindern unter 13 Jahren. Solltest du Kenntnis davon erlangen, dass eine Person unter 16 Jahren die App nutzt, kontaktiere uns bitte unter privacy@mamabloom.app, und wir werden die Daten umgehend löschen.

Mama Bloom KI ist für Nutzer ab 18 Jahren bestimmt. Dazu gehören das Begleiter-Gespräch, getippt oder gesprochen, und alle Texte, die Mama Bloom KI für dich schreibt, etwa Reflexionen, Briefe, Notizen und Antworten in Werkzeugen (Abschnitte 6 und 6a). Bevor du sie nutzt, fragt Mama Bloom dich, ob du 18 oder älter bist, es sei denn, dein angegebenes Geburtsjahr zeigt es bereits; bis du antwortest, schreibt Mama Bloom KI nichts für dich. Wenn du angibst, dass du jünger als 18 bist, oder dein angegebenes Geburtsjahr das zeigt, bleibt Mama Bloom KI für dich ausgeschaltet: Mama Bloom stellt für dich keine der in den Abschnitten 6 und 6a beschriebenen KI-Anfragen und nutzt für dich auch Apples Modell auf dem Gerät nicht. Alles andere in der App, einschließlich der Krisenhilfe, funktioniert wie bisher. Deine Antwort und, falls du es angegeben hast, dein Geburtsjahr werden auf deinem Gerät gespeichert, nur für diese Altersgrenzen verwendet, nie an uns oder an eine KI gesendet und mit deinem Konto gelöscht. Deine Antwort oder dein angegebenes Geburtsjahr kannst du unter Profil → Datenschutz & Daten ändern.

2a. Daten von Kindern#

Einige Funktionen von Mama Bloom ermöglichen es dir, Informationen über dein Baby oder Kind zu erfassen — Name, Geburtsdatum, Still- und Flaschenmahlzeiten, Schlaf, Wachstumsmaße. Nach der DSGVO ist ein Kind eine eigenständige betroffene Person, vertreten durch Eltern oder Erziehungsberechtigte. Durch die Nutzung dieser Funktionen handelst du als gesetzliche Vertreterin deines Babys. Gespeicherte Baby-Datensätze verbleiben im geschützten lokalen Speicher deines Geräts und werden nicht mit iCloud synchronisiert. Ein datensatzfreier iCloud-Marker zur Kontowiederherstellung und die einmalige Wiederherstellung eines früheren Schnappschusses nach Abschnitt 7 sind davon getrennt. Abgesehen von einer Kopie deiner Datensätze, die du selbst speicherst (Abschnitt 7), verlassen Angaben zu deinem Baby das Gerät nur in den KI-Anfragen aus den Abschnitten 6 und 6a: im optionalen Begleiter-Chat-Kontext, in den Reflexionen und anderen Texten, die Mama Bloom KI für dich schreibt und die den Namen deines Babys und in manchen Fällen sein Alter oder Geburtsdatum enthalten können, und in den begrenzten, von dir ausgelösten Baby-Werkzeug-Anfragen. Bei Fütterungsfragen wird deine eingegebene Frage gesendet; bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI können zusätzlich das ungefähre Alter und bis zu fünf letzte strukturierte Fütterungszusammenfassungen gesendet werden. Die KI-Schlaflesung in Kleine Tage ist nur mit Mama Bloom+ verfügbar und sendet das ungefähre Alter und höchstens die letzten fünf Zusammenfassungen aus Schlafbeginn, Dauer und Aufwachzeit erst, nachdem du das Teilen gespeicherter Kontexte eingeschaltet hast und darum bittest. Die App fügt keiner Anfrage automatisch einen gespeicherten Babynamen oder gespeicherte Notizen hinzu; alles, was du selbst in eine Fütterungsfrage eingibst, wird als Teil dieser Frage gesendet. Du kannst die gespeicherten Daten eines bestimmten Babys jederzeit löschen, unter Profil → Datenschutz & Daten, und die vollständige Kontolöschung entfernt alles, was wir kontrollieren, vorbehaltlich der Aufbewahrungsfristen des Anbieters in Abschnitt 6a. Mama Bloom erhebt zu keinem Zweck Daten direkt von Kindern unter 13 Jahren, und keine Daten zu deinem Baby werden für Werbung verwendet oder verkauft.

3. Erhobene Daten#

Von dir bereitgestellte Daten:

• Vorname (deine Wahl)
• E-Mail-Adresse (Kontoerstellung)
• Dein Geburtsjahr, falls du es angegeben hast, und deine Antwort auf die Frage, ob du 18 oder älter bist: auf deinem Gerät gespeichert und nur für die Altersgrenzen in Abschnitt 2 verwendet
• Reisephase der Mutterschaft und App-Einstellungen
• Stimmungsprotokolle, Tagebucheinträge, Symptomaufzeichnungen
• PHQ-9-Ergebnisse: der Gesamtwert jedes Checks und nur für deinen letzten Check, ob du Frage 9 mit etwas anderem als „Überhaupt nicht“ beantwortet hast (auf diesem Gerät gespeichert und in einer Kopie enthalten, die du selbst speicherst). Deine Antworten auf die einzelnen Fragen bewahrt Mama Bloom nicht auf. Eine Ausnahme, die frühere Fassungen dieser Datenschutzerklärung nicht nannten (neu in v1.4.10): Eine Wiederherstellungskopie, die Mama Bloom auf diesem iPhone aufbewahrt, um deine Datensätze nach einem Speicherfehler wiederherzustellen, kann noch Antworten enthalten, die du vor Version 1.9.9 gegeben hast, ebenso der ältere Schnappschuss, den eine Version von Mama Bloom vor v1.8 möglicherweise in deiner iCloud gespeichert hat (Abschnitt 7). Wiederherstellungskopien liegen im geschützten Speicher, den keine Sicherung mitnimmt. Mama Bloom zeigt diese Antworten nicht an und übernimmt sie nicht wieder in deine Datensätze, und Wiederherstellungskopien werden gelöscht, wenn du dein Konto löschst. Der Wert und die Antwort auf Frage 9 werden niemals an KI gesendet. Bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI darf nur ein abgeleitetes Wohlbefindensband einbezogen werden
• Von dir eingegebene Baby-Informationen
• Menstruationszyklus- und Fruchtbarkeitsdaten (sofern du diese erfassen möchtest)
• Gewichts-, Blutdruck- und Glukosewerte (sofern du diese erfassen möchtest)
• Briefe an das Baby, Termine und Impfnachweise, die du in der App erstellst

Automatisch erhobene Daten:

• Konto-Wiederherstellungslink (E-Mail-Konten): Nach deiner Anmeldung speichern unsere Server einen Einwegcode (Hash) deiner Konto-E-Mail, verknüpft mit deinem Konto, damit du das Konto per E-Mail wiederherstellen kannst, falls dieses Gerät verloren geht. Die Adresse selbst wird nicht dauerhaft gespeichert, der Link wird mit deinem Konto gelöscht und niemals für Marketing genutzt
• App-generierte Gerätekennung (im Schlüsselbund gespeichert; genutzt für Rate-Limiting, Sicherheit und zustimmungsbasierte Analysen)
• Länderregion aus deiner Geräteregion oder einer Auswahl innerhalb der Hilfe-Ansicht, um passende Krisenkontakte anzuzeigen. Mama Bloom fragt dafür keinen genauen GPS-Standort ab und speichert ihn nicht
• Abonnementstatus (über Apple — Zahlungsdaten sind für uns nicht einsehbar)
• Minimale pseudonyme Nutzungsanalysen nach Einwilligung (z. B. geöffnete Funktion, abgeschlossenes Onboarding, Abonnementstatus, die Tagesstufe (wie viele Tage seit dem ersten Öffnen dieser Installation vergangen sind, in Spannen wie 2 bis 6 Tage), die Art, wie die App geöffnet wurde, sowie Absturz- / Diagnoseereignisse)
• Sprachtranskription in den eigenen Sprachfunktionen von Mama Bloom (nur wenn Apple Speech Recognition die Erkennung auf dem Gerät für die gewählte Sprache unterstützt; es gibt keine Server-Ausweichlösung und andernfalls ist Spracheingabe nicht verfügbar. Audio verlässt das Gerät nie. Der resultierende Text wird beim Journaling lokal gespeichert oder folgt beim Absenden im Chat dem gewählten Chat-Datenschutzmodus. Siri ist ein eigener Dienst von Apple; siehe „Siri und Kurzbefehle“ in Abschnitt 6)
• Eingaben für Foto-Etikett (nur Mama Bloom+ und nur nach deiner ausdrücklichen Analysebestätigung): das ausgewählte Foto und nur mit deiner Einwilligung minimale Angaben zu Phase und Ernährung. Der kostenlose Lebensmittelsicherheits-Index ist statisch und sendet kein Foto. Unser Proxy speichert das Foto nicht; Anthropic löscht Standard-API-Eingaben normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining; siehe Abschnitt 6
• Personenliste (Vorname + Rolle + Anzahl Erwähnungen, extrahiert aus Chat/Tagebuch durch Apples On-Device-NLTagger; wird nur dann in den System-Prompt der KI aufgenommen, wenn das Teilen gespeicherter Kontexte eingeschaltet ist)
• Gedächtnisnotizen aus Gesprächen (kurze KI-Notizen aus deinen eigenen Nachrichten am Ende eines Begleiter-Gesprächs, nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI; geschützt auf diesem Gerät gespeichert, mit deinen zitierten Worten und ihrem Datum; daraus vorgeschlagene Vornamen kommen erst mit „Merken“ auf die Personenliste; ein Tag, an den du erinnert werden möchtest)

Wir erheben keine Werbe-IDs, keinen genauen GPS-Standort und keine App-übergreifenden Tracking-Daten.

Apple Health (nur mit deiner Erlaubnis; jeder Typ ist in iOS eine eigene Berechtigung, die du in der Health-App für Mama Bloom ändern kannst):

• Mama Bloom bittet darum, Folgendes zu lesen: Schlaf, Schritte, Ruheherzfrequenz, Achtsamkeitsminuten und Trainingseinheiten.
• Mama Bloom kann in Apple Health speichern, was du in der App einträgst: Nächte aus dem Schlaftagebuch, Periodentage, Gewichts- und Blutdruckwerte sowie Achtsamkeitsminuten aus Atem- und Meditationsübungen. Ein Stimmungs-Check-in, den du für heute einträgst, wird zusätzlich als eine Achtsamkeitsminute in Apple Health gespeichert, ohne das Wort für deine Stimmung. Stimmungs-Check-ins, die Versionen vor v1.9.9 gespeichert haben, enthalten das englische Wort für die Stimmung (zum Beispiel „Tired“), das andere Apps sehen können, denen du das Lesen von Achtsamkeitsminuten erlaubst; du kannst diese Einträge in der Health-App löschen.
• Unter iOS 27, nur im Perimenopause-Guide und mit einer eigenen Erlaubnis: Mama Bloom kann deine Phase der Menopause aus Apple Health anzeigen und eine Phase der Menopause speichern, die du im Guide wählst, und liest Blutungen nach der Menopause nur, um zu zeigen, wann sie zuletzt erfasst wurden. Mama Bloom speichert diese beiden Angaben nie in den eigenen Datensätzen der App, sendet sie nie an eine KI oder an unsere Server, berücksichtigt sie nie in Analysen und nimmt sie nie in deinen Export auf. Wenn du Apple Health im Guide verbindest, darf Mama Bloom Apple Health nur im Guide nutzen; an anderen Stellen in Mama Bloom wird Apple Health dadurch nicht eingeschaltet. Wenn du in den USA bist, lässt sich der Guide nur verbinden, solange deine Einwilligung zur Erfassung deiner Verbrauchergesundheitsdaten erteilt ist (Profil → Verbrauchergesundheitsdaten). Widerrufen kannst du das jederzeit im Guide, wo du die Verbindung hergestellt hast, oder unter Profil → Datenschutz & Daten. Wenn du unter Profil → Datenschutz & Daten die HealthKit-Synchronisierung ausschaltest, widerrufst du es ebenfalls; dann liest Mama Bloom nirgends mehr aus Apple Health und speichert nichts mehr dort.

Mama Bloom bittet nicht mehr darum, Menstruationsstärke, Ergebnisse von Ovulationstests, Gewicht oder Blutdruck zu lesen, weil die App sie nicht nutzt. Eine früher erteilte Erlaubnis bleibt in der Health-App, bis du sie dort änderst; Mama Bloom liest damit nichts.

Was Mama Bloom aus Apple Health liest, wird auf deinem iPhone genutzt. Wir speichern es nicht auf unseren Servern. Importierte Schlafnächte liegen in deinem Schlaftagebuch und zählen dort wie Nächte, die du selbst einträgst. Werte, die aus deinen Datensätzen einschließlich der Daten aus Apple Health errechnet werden, etwa ein Wochendurchschnitt für Schlaf oder Schritte, können Teil der KI-Anfragen sein, die Abschnitt 6 und der KI-Transparenzhinweis (im Gesundheitlichen Haftungsausschluss, Profil → Rechtliches) beschreiben; die in Abschnitt 6 beschriebene Beobachtung unter „Wöchentliche Einblicke“ sendet solche Werte nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI. Dein Datenexport enthält, was Mama Bloom aus Apple Health gelesen hat, etwa importierte Schlafnächte, die letzten Schrittzahlen, die Ruheherzfrequenz und Trainingseinheiten, nie aber die beiden oben genannten Angaben zur Menopause.

4. Rechtsgrundlagen der Verarbeitung#

Gemäß DSGVO (Art. 6 / Art. 9) und UK GDPR (ergänzt durch DPA 2018 und DUAA 2025):

Für Nutzer im Geltungsbereich der DSGVO (EU, EWR, Großbritannien) und vergleichbarer Rechtsordnungen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO / Art. 9 Abs. 2 lit. a DSGVO für Gesundheitsdaten) — Teilen gespeicherter Kontexte mit der KI und optionale Funktionen
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Bereitstellung des Abonnementdienstes
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Sicherheit, Betrugsprävention
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) — Einhaltung gesetzlicher Vorschriften

Für Gesundheitsdaten und besondere Kategorien personenbezogener Daten holen wir im Rahmen des Onboardings deine ausdrückliche Einwilligung ein.

5. Verwendung deiner Daten#

• Bereitstellung und Personalisierung der App-Funktionen
• Aktuelle Wellness- und Baby-Datensätze im geschützten lokalen Speicher halten; einen früheren verschlüsselten iCloud-Schnappschuss nach geprüfter lokaler Übernahme wiederherstellen und anschließend löschen, wobei erforderlichenfalls nur ein datensatzfreier Marker zur Kontowiederherstellung verbleibt
• Abwicklung von Abonnementzahlungen über Apple
• Anzeige passender Krisenkontakte anhand der Geräteregion oder einer Auswahl innerhalb dieser Ansicht
• Versand optionaler Push-Benachrichtigungen

Wir verwenden deine Daten nicht für Werbezwecke. Wir verkaufen, vermieten oder teilen deine Daten nicht mit Dritten für deren eigene Zwecke.

6. KI und Drittanbieterdienste#

Mama Bloom KI ist für Nutzer ab 18 Jahren bestimmt (Abschnitt 2). Wenn du angegeben hast, dass du jünger als 18 bist, oder dein angegebenes Geburtsjahr das zeigt, stellt Mama Bloom für dich keine der KI-Anfragen, die dieser Abschnitt und Abschnitt 6a beschreiben, und nutzt für dich auch Apples Modell auf dem Gerät nicht; dasselbe gilt, solange Mama Bloom auf deine Antwort auf die Frage wartet, ob du 18 oder älter bist.

Mama Bloom KI — was dein Gerät beim allgemeinen Begleiter-Chat verlässt: Bei ausgeschaltetem Teilen gespeicherter Kontexte für personalisierte KI ist der Nutzerinhalt, der für einen Gesprächszug über unseren sicheren Proxy an Anthropic (USA) gesendet wird, die letzten Nachrichten deines aktuellen Gesprächs — der Verlauf, den du geschrieben hast, samt Antworten —, damit Antworten dem Gespräch folgen können. Vorname, Land, Phase, gespeicherte Gesprächszusammenfassungen früherer Sitzungen, Tagebuchauszüge, PHQ-Kontext, Personenliste und andere gespeicherte App-Datensätze werden nicht einbezogen. Bei eingeschaltetem Teilen können das aktuelle Gespräch und folgender begrenzter Kontext gesendet werden: dein gewählter Vorname und, falls du ihn gespeichert hast, der Vorname deines Partners oder deiner Partnerin; Land zur lokalen Anpassung von Hilfsangeboten; Phase (in der Schwangerschaft mit dem Trimester, beim Kinderwunsch mit ungefähr der Dauer, seit der du es versuchst); was du Mama Bloom als dein größtes Bedürfnis genannt hast, die Anliegen, die du markiert hast, die Tageszeit und der Ton, die du bevorzugst, und der Modus, den du für das Gespräch gewählt hast; deine letzten 7 Stimmungs-Check-ins mit den Emotionen, die du markiert hast, und bei denen der letzten 3 Tage mit den Notizen, die du geschrieben hast (jeweils bis zu 200 Zeichen); kurze, auf deinem iPhone ermittelte Zusammenfassungen deiner Stimmungsmuster (etwa ob du regelmäßig oder spät abends eincheckst), die auch deinen tiefsten und deinen höchsten letzten Check-in enthalten können, jeweils mit einem Wert, den dein iPhone aus den Worten der Notiz errechnet hat, und bis zu 60 Zeichen dieser Notiz; Symptome, die du kürzlich erfasst hast, mit einem Wort dafür, wie stark sie meist waren, nie mit einer Zahl; Schlafdurchschnitte, Schrittzahlen, Ruheherzfrequenz und Zusammenfassungen deiner Trainingseinheiten; sowie, soweit relevant: Angaben aus dem Zyklus- und Kinderwunsch-Tracking (etwa Zykluslänge, aktuelle Temperatur- und Ovulationstest-Ergebnisse und Kinderwunschbehandlung), Menstruationsstatus, Status einer Hormontherapie und Beschwerden in der Perimenopause, Angaben zu einem Schwangerschaftsverlust einschließlich eines Namens, den du deinem Baby gegeben hast, ob du eine frühere psychische Vorgeschichte oder wenig Unterstützung in deinem Umfeld angegeben hast, deine Ernährungsvorlieben und Allergien, ein bevorstehendes wichtiges Datum (dein Geburtstermin, der nächste Monatsgeburtstag deines Babys oder der Jahrestag eines Verlusts), wenn es nah ist, eine kurze Zusammenfassung deiner Muster der letzten Wochen, bis zu zwei kurze Tagebuchauszüge von jeweils bis zu 90 Zeichen sowie die auf deinem iPhone ermittelten Hauptthemen, die Grundstimmung und die Länge deiner letzten Tagebucheinträge und wie lange dein letzter Eintrag her ist, Geburtstermin und, falls erfasst, Babyname, ungefähres Alter, Geburtsart und Ernährungsmethode, eine kompakte Liste aus Name/Rolle/Anzahl Erwähnungen, kurze Zusammenfassungen von bis zu zehn früheren Gesprächen und ein kurzer Rückblick auf ältere, mit ihren Themen und den Gefühlen, die du ausgedrückt hast, deine Gedächtnisnotizen (siehe „Gesprächsgedächtnis“ unten), wie viele Antworten in diesem Gespräch du als hilfreich oder nicht hilfreich markiert hast, die Tageszeit und ungefähr, wie lange es her ist, dass du Mama Bloom zuletzt geöffnet hast, und ausschließlich ein abgeleitetes PHQ-Wohlbefindensband. PHQ-Antworten, der genaue Wert und die Antwort auf Frage 9 werden nie an uns oder an eine KI gesendet. Dein vollständiger Name, deine E-Mail-Adresse, Kontodaten und dein Alter werden niemals an Anthropic übermittelt. Unser Vertragspartner für Mama Bloom KI ist Anthropic Ireland, Limited (Dublin, Irland). Anthropic verarbeitet diese Daten auf Grundlage unseres abgeschlossenen Datenverarbeitungsvertrags (Data Processing Addendum, anthropic.com/legal/data-processing-addendum). Anthropic speichert diese Daten in den USA; wer sie dort verarbeiten kann, wo sie sonst verarbeitet werden können und welche Schutzmaßnahmen die Bedingungen von Anthropic enthalten, steht in Abschnitt 8.
Gesprächsgedächtnis (neu in v1.4.8) — was gesendet wird: Wenn ein Begleiter-Gespräch endet (getippt oder gesprochen), und nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI, können deine eigenen Nachrichten aus diesem Gespräch ein weiteres Mal über denselben sicheren Proxy an Anthropic (USA) gesendet werden, damit die KI aus deinen eigenen Worten eine kurze Gedächtnisnotiz schreibt — etwa dass ein Familienbesuch ansteht oder was dir geholfen hat. Sehr kurze Gespräche werden übersprungen. Diese Anfrage wird zu denselben Bedingungen und mit derselben Aufbewahrungsdauer wie das Gespräch selbst behandelt (Standarddaten der kommerziellen API, normalerweise innerhalb von 30 Tagen gelöscht, nicht für Training; Ausnahmen nennt Abschnitt 7). Dieselbe Anfrage liefert auch Vornamen, die du erwähnt hast; jeder wird dir nur vorgeschlagen und kommt erst auf die Personenliste, wenn du auf „Merken“ tippst — „Jetzt nicht“ lässt ihn weg. Das ergänzt die unten beschriebene Namenserkennung auf dem Gerät.
Wo sie liegt: Jede Notiz liegt geschützt auf diesem Gerät, nie auf unseren Servern. Die Notiz selbst schreibt die KI, und sie kann falsch sein; deshalb zeigt der Bildschirm „Was Mama Bloom weiß“ in deinem Profil deine zitierten Worte und ihr Datum darunter. Notizen fließen nur bei eingeschaltetem Teilen gespeicherter Kontexte in spätere Begleiter-Anfragen ein. Wenn du zusätzlich einer kleinen Nachricht für einen von dir genannten Tag zustimmst, wird eine einzelne lokale Mitteilung auf diesem Gerät eingeplant; dafür wird nichts gesendet. Die erste Zeile eines neuen Gesprächs kann sich auf das beziehen, was du Mama Bloom beim letzten Mal erzählt hast; sie wird auf deinem Gerät aus diesen Notizen formuliert und zitiert deine Worte im Gespräch nicht.
Deine Kontrolle: Auf diesem Bildschirm kannst du jede Notiz jederzeit vergessen lassen. Du kannst auch eine Person vergessen lassen: Dann nimmt Mama Bloom diesen Namen aus dem, was du schon gesagt oder geschrieben hast, nicht wieder auf, und eine geplante kleine Nachricht zu dieser Person entfällt. Der Name bleibt überall, wo er schon vorkommt, etwa in deinem Gespräch, deinem Tagebuch oder einer Notiz. Oder du lässt Mama Bloom alles vergessen, was sie sich merkt: jede Notiz, jede Gesprächszusammenfassung und jeden Namen, samt jedem Tag, den du für jemanden genannt hast, und der kleinen Nachricht dafür; dein Gespräch, dein Tagebuch und deine Check-ins bleiben. Damit ein vergessener Name nicht zurückkommt, behält Mama Bloom von diesem Namen nur einen Einwegcode auf diesem iPhone. Notizen, Gesprächszusammenfassungen und von dir für jemanden genannte Tage, die möglicherweise nicht mehr zu dem passen, wo du jetzt stehst, etwa nachdem du deine Phase geändert hast, werden beiseitegelegt: Mama Bloom behält sie auf diesem iPhone, ohne sie zu nutzen, und auf diesem Bildschirm kannst du sie ansehen, wieder nutzen oder vergessen lassen; beiseitegelegte Notizen verblassen trotzdem wie jede andere Notiz. Wenn du das Teilen gespeicherter Kontexte ausschaltest, schreibt Mama Bloom KI keine neuen Notizen mehr, und vorhandene werden weder genutzt noch gesendet; Mama Bloom behält sie auf diesem iPhone und aktualisiert, solange das Teilen aus ist, weiterhin die wenigen Notizen, die sie auf diesem iPhone aus deinen Check-ins und aus den Datumsangaben deiner Tagebucheinträge und deines Profils ermittelt, nutzt sie aber nicht. Mit der Löschung deines Kontos wird all das gelöscht.

Aktionen im Chat (Mama Bloom+; neu in v1.4.10): Mit Mama Bloom+ und nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI kann Mama Bloom KI im Begleiter-Chat außer ihrer Antwort noch ein paar Dinge tun. Sie kann deine letzten Stimmungs-Check-ins, Tagebuchauszüge und Schlafdurchschnitte nachsehen, nie mehr, als der oben beschriebene Kontext enthält. Sie kann eine Atemübung, eine Meditation oder einen Artikel als Karte unter ihrer Antwort vorschlagen; die Karte öffnet sich über deinem Gespräch erst, wenn du sie antippst, und im Sprachmodus erscheint keine Karte. Sie kann für dich einen Stimmungs-Check-in eintragen, wenn du deine Stimmung nennst oder sie darum bittest, gespeichert wie jeder Check-in, und eine Affirmation, die du behalten möchtest, zu deinen gespeicherten Affirmationen hinzufügen. Was sie nachsieht und was sie getan hat, wird als Teil des Gesprächs an Anthropic gesendet. Jedes Mal, wenn sie eines davon nutzt, speichert unser Server bis zu 5 Minuten lang einen Datensatz, der nur einmal verwendet werden kann, damit das Zurücksenden des Ergebnisses nicht als neue Nachricht zählt; er enthält deine Installationskennung und deine Kontokennung, die Kennung dieses Schritts und einen Zähler bis höchstens drei und wird gelöscht, sobald er verwendet ist (Abschnitt 7).

Anthropic Files — gebündeltes Wellness-Korpus (immer aktiv): Mama Bloom lädt vorab ihre eigene Bibliothek aus Wellness-Artikeln, Übungen und MamaTipps in Anthropic Files hoch, damit Claude sie bei deinen Fragen korrekt zitieren kann. Dieses Korpus enthält ausschließlich von Mama Bloom kuratierte Inhalte — keine Nutzerdaten, keinen Tagebuchtext, nichts, was du geschrieben hast. Es verhält sich wie ein Bücherregal, auf das Claude zugreifen kann.

Nutzertagebuch-Dateien: v1.8 lädt kein Nutzertagebuch-Korpus gesammelt in Anthropic Files hoch und zeigt keine Steuerung zum Hochladen oder Löschen einer Tagebuchdatei. Tagebuchtext wird nur in diesen Anfragen an eine KI gesendet, und nur bei eingeschaltetem Teilen gespeicherter Kontexte: bis zu zwei kurze Auszüge im Begleiter-Chat; bis zu vier Auszüge von jeweils bis zu 100 Zeichen, wenn du Mama Bloom bittest, ihre Notizen über dich zu aktualisieren; die ersten 500 Zeichen eines Tagebucheintrags, den du speicherst, für seine Reflexion (Mama Bloom+); und die ersten 100 Zeichen deines letzten Eintrags sowie Wörter, die du mehrfach geschrieben hast, in einer Morgenausgabe, um die du bittest.

Apple Journaling Suggestions (auf dem Gerät, ab Build 85): Der Tagebuch-Editor bietet „Mit einem Moment beginnen“ — Apples JournalingSuggestionsPicker läuft auf deinem Gerät und leitet Vorschläge aus System-Signalen ab (aufgenommene Fotos, Workouts, Orte). Mama Bloom empfängt niemals die rohen Vorschlagsdaten und sieht keine der zugrundeliegenden Signale. Nur der Moment, den du ausdrücklich antippst, wird an die App übergeben: sein Titel wird in den Eintragstext übernommen, und ein Foto dieses Moments — falls vorhanden und dein Eintrag noch keines hat — füllt den Foto-Platz des Eintrags, gespeichert auf deinem Gerät wie jedes Tagebuchfoto. Nichts an dieser Funktion verlässt dein iPhone; Apples Verarbeitung der zugrundeliegenden Signale unterliegt Apples Datenschutzrichtlinie.

Siri und Kurzbefehle (neuer Abschnitt in v1.4.9): Du kannst Siri bitten oder die Kurzbefehle-App nutzen, um deinem Mama-Bloom-Tagebuch einen Eintrag hinzuzufügen, eine Stimmung einzutragen oder Teile der App zu öffnen, etwa eine Meditation. Was du Siri sagst, verarbeitet Apple nach den eigenen Bedingungen und der Datenschutzrichtlinie von Apple, nicht Mama Bloom; deine Siri-Einstellungen bestimmen, wie Apple damit umgeht. Siri kann Einträge hinzufügen, aber nicht abrufen und dein Tagebuch nicht durchsuchen: Mama Bloom gibt nur eine kurze Antwort zurück, ob der Eintrag gespeichert wurde, nie den Text eines Eintrags. Je nach deinen Siri-Einstellungen spricht Siri die Antwort möglicherweise laut aus, sodass Menschen in deiner Nähe sie hören können; deine Worte wiederholt sie nie.
Was Mama Bloom erhält: nur die Worte deines Eintrags (ein Titel, den du angibst, wird zur ersten Zeile), eine Stimmung, die du nennst, oder den Namen der Meditation oder Geschichte, die du dir wünschst; wird dabei ein Datum, ein Ort oder ein Foto mitgegeben, speichert Mama Bloom es nicht. Eine so eingetragene Stimmung wird wie jeder Stimmungs-Check-in gespeichert, auch in Apple Health, wenn du das erlaubt hast.
Wann ein Eintrag gespeichert wird: Einen Eintrag kannst du nur hinzufügen, wenn dein iPhone entsperrt ist, du bei Mama Bloom angemeldet bist und die Einwilligung vorliegt, die du bei der Einrichtung von Mama Bloom gegeben hast (das Ausschalten von Mama Bloom KI über „Dateneinwilligung widerrufen“ ändert daran nichts). Bist du abgemeldet oder liegt diese Einwilligung nicht vor, speichert Mama Bloom nichts. Mama Bloom legt den Eintrag zuerst in einem verschlüsselten Zwischenspeicher auf diesem iPhone ab und fügt ihn deinem Tagebuch hinzu, wenn du Mama Bloom das nächste Mal öffnest und dabei mit demselben Konto angemeldet bist, oder sofort, wenn sie schon geöffnet ist; er bekommt das Datum, an dem er in dein Tagebuch kommt, nicht das Datum, an dem du ihn über Siri hinzugefügt hast. Von da an wird er gespeichert und geschützt wie ein Eintrag, den du tippst. Einträge, die noch im Zwischenspeicher warten, sind in deinem Datenexport enthalten und werden mit deinem Konto gelöscht. Für einen Eintrag, den du über Siri hinzufügst, schreibt Mama Bloom keine KI-Reflexion, und beim Hinzufügen wird nichts daraus an unsere Server oder an Anthropic gesendet; danach gelten dieselben Regeln wie für deine anderen Tagebucheinträge (siehe oben).
Wenn du Unterstützung brauchst: Enthält ein Eintrag Worte, die darauf hindeuten, dass du dringend Unterstützung brauchen könntest, und bist du angemeldet und liegt diese Einwilligung vor, legt Mama Bloom auf diesem iPhone eine kleine Notiz an, dass dir Unterstützung gezeigt werden soll. Die Notiz enthält nur den Zeitpunkt, zu dem sie angelegt wurde, und sorgt dafür, dass Mama Bloom dir beim nächsten Öffnen Anlaufstellen zeigen kann, auch wenn der Eintrag selbst nicht gespeichert werden konnte; die Notiz wird entfernt, sobald Mama Bloom dir diese Anlaufstellen gezeigt hat, und mit deinem Konto. Konnte nichts gespeichert werden, weil du abgemeldet bist oder diese Einwilligung nicht vorliegt, und deuten deine Worte darauf hin, dass du dringend Unterstützung brauchen könntest, zeigt die Antwort von Mama Bloom außerdem ein paar Anlaufstellen.
Vorschläge, Spotlight und Siri ausschalten: Wenn du in Mama Bloom bestimmte Dinge tust (zum Beispiel einen Stimmungs-Check-in machst, in dein Tagebuch schreibst oder eine Meditation beendest), meldet Mama Bloom das höchstens einmal am Tag je Art von Aktion an iOS, damit iOS dir den passenden Kurzbefehl vorschlagen kann, etwa auf deinem Sperrbildschirm. Diese Vorschläge enthalten nie deine Stimmung oder das, was du geschrieben hast. Die Spotlight-Suche auf deinem iPhone findet nur die eigenen Artikel, Meditationen und Werkzeuge von Mama Bloom, nie das, was du schreibst. Siri für Mama Bloom kannst du in den iOS-Einstellungen unter Apps → Mama Bloom → Siri ausschalten.

Lebensmittelsicherheits-Index und Foto-Etikett: Der kostenlose Lebensmittelsicherheits-Index besteht aus statischen, quellengebundenen Inhalten in der App; er sendet kein Foto und nutzt keine Cloud-KI. Foto-Etikett ist nur mit Mama Bloom+ verfügbar. Nachdem du die Analyse ausdrücklich bestätigst, werden das ausgewählte Foto und nur mit deiner Einwilligung minimale Angaben zu Phase und Ernährung per TLS über unseren Proxy an ein bildfähiges Claude-Modell gesendet. Der Proxy protokolliert weder Bildbytes noch Prompt-Inhalte. Für Sicherheit, Rate-Limiting und Diagnose erfasst er ein 8-stelliges SHA-256-Hash-Präfix sowie begrenzte Betriebsmetadaten (Nutzlastgröße, Medientyp, Anfrage-ID, gerätegebundene Rate-Limit-Kennung und Ergebnis) und speichert das Foto nicht. Anthropic behandelt Foto und freigegebenen Kontext als Standard-Eingaben der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining. Ergebnisse können unvollständig oder falsch sein und ersetzen weder das Produktetikett noch professionelle Allergie- oder medizinische Beratung.

Sprachmodus: Apple Speech Recognition wird nur genutzt, wenn die Erkennung auf dem Gerät für die gewählte Sprache unterstützt wird. Es gibt keine Ausweichverarbeitung auf Apple-Servern. Ist lokale Erkennung nicht verfügbar, ist die Spracheingabe nicht verfügbar. Audio verlässt das Gerät nie. Nur der transkribierte Text folgt demselben oben beschriebenen Datenschutzmodus für gespeicherte Kontexte.

Paralleler Krisenklassifikator: Parallel zu jeder deiner Chatnachrichten erhält das Claude-Haiku-Modell von Anthropic dieselbe Nachricht, um zu prüfen, ob sie Sprache enthält, die auf akuten Unterstützungsbedarf hindeuten könnte. Das Klassifikationsergebnis wird niemals als Chatverlauf gespeichert. Zustimmungsbasierte Analysen können zählen, dass eine Prüfung lief; Schweregrad und Kategorie speichern unsere Server nicht, und es wird kein Nachrichtentext angehängt. Lehnt das Modell die Prüfung einer Nachricht ab, zeigt dir Mama Bloom Anlaufstellen, an die du dich wenden kannst.

Nachrichten, bei denen du Unterstützung brauchen könntest (neu in v1.4.10): Enthält eine Nachricht, die du an Mama Bloom KI sendest, Worte, die darauf hindeuten, dass du Unterstützung brauchen könntest, antwortet Mama Bloom KI darauf auch dann, wenn deine Nachrichten für heute aufgebraucht sind, und die Nachricht wird nicht auf dein tägliches Nachrichtenlimit angerechnet. Die Anfrage teilt das unserem Server mit; unser Server führt sie dann in einer eigenen täglichen Zählung statt bei deinen täglichen Nachrichten, für bis zu 10 solcher Nachrichten am Tag, mit oder ohne Mama Bloom+; danach wird eine Nachricht wie gewohnt angerechnet. Unser Server speichert nur diese Zahl unter einem neutralen Namen; in seinen Protokollen erscheint eine solche Anfrage wie jede andere, ohne Hinweis darauf, dass sie so gezählt wurde (Abschnitt 7).

Reflexionen, nachdem du etwas gespeichert hast: Mama Bloom KI schreibt eine kurze Reflexion, wenn du auf der Startseite einen Stimmungs-Check-in speicherst oder im Profil um eine tiefere Einsicht bittest, wenn du ein Gedankenprotokoll abschließt und, für Mitglieder von Mama Bloom+, wenn du einen Tagebucheintrag speicherst. Enthält das, was du gerade gespeichert hast, Worte, die darauf hindeuten, dass du dringend Unterstützung brauchen könntest, wird für seine Reflexion nichts gesendet. Bei ausgeschaltetem Teilen gespeicherter Kontexte für personalisierte KI schreibt Apples Modell auf dem Gerät die Reflexion auf deinem iPhone, wenn es das kann, sonst gibt es keine, und dafür wird nichts gesendet. Bei eingeschaltetem Teilen geht die Anfrage über unseren sicheren Proxy an Anthropic (USA) und enthält, was du gerade gespeichert hast (das Stimmungswort und die Notiz dieses Check-ins, die ersten 500 Zeichen dieses Tagebucheintrags und seine Stimmung oder Situation, Gedanken und Gefühl dieses Gedankenprotokolls und wie stark das Gefühl nachgelassen hat), deinen Vornamen, deine Phase und nach der Geburt den Namen deines Babys; die Reflexion zur Stimmung enthält außerdem deine letzten 14 Stimmungs-Check-ins mit ihren Notizen (jeweils bis zu 200 Zeichen), die Reflexion zum Tagebuch deine letzten 5 Stimmungswörter. Dazu kann dieser kurze persönliche Kontext kommen: was du Mama Bloom als dein größtes Bedürfnis genannt hast und wann du Unterstützung bevorzugst, dein Land, Angaben zu einem Schwangerschaftsverlust einschließlich eines Namens, den du deinem Baby gegeben hast, bis zu fünf Personen aus deiner Personenliste, kurze Zusammenfassungen von bis zu drei früheren Gesprächen, der Ton, den du gewählt hast, und, wenn du eine Woche oder länger nicht da warst, wie viele Tage. Anthropic behandelt diese Anfragen als Standarddaten der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining.

Texte, die Mama Bloom KI vorbereitet, ohne dass du fragst, und eine Aktualisierung des Gedächtnisses (deine Angaben fließen nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI ein): (1) Für die Benachrichtigungen, die du unter Profil → Tools & Erinnerungen → Benachrichtigungen eingeschaltet hast, kann Mama Bloom KI die Worte eines täglichen Check-ins oder einer Morgennotiz, einer Wochennotiz, einer Notiz nach mehreren schweren Tagen, einer Gute-Nacht-Notiz und einer Notiz zu deiner Woche schreiben. Auf deinem Sperrbildschirm steht dafür eine feste, allgemeine Zeile; die von der KI geschriebenen Worte erscheinen, wenn du Mama Bloom öffnest. Je nach Notiz enthalten diese Anfragen deine Phase, den Namen deines Babys, deine letzten Stimmungswörter oder ob deine Woche eher gut oder eher schwer war, bis zu zwei Anliegen, die du markiert hast, deinen Schlafdurchschnitt, wie viele schwere Tage du hattest, ob du in dein Tagebuch geschrieben hast oder regelmäßig eincheckst, und bei der Gute-Nacht-Notiz und der Notiz zu deiner Woche deinen Vornamen. (2) Ist „Proaktive Nachrichten erlauben“ eingeschaltet, kann Mama Bloom KI die erste Zeile schreiben, die Mama Bloom sagt, wenn du eine proaktive Nachricht öffnest; diese Anfrage enthält deine Phase, deinen Vornamen, worum es in der Nachricht geht (zum Beispiel um den Jahrestag eines Verlusts, deinen nahen Geburtstermin, den ersten Lebensmonat oder ersten Geburtstag deines Babys, einen Wochentag, der für dich oft schwerer war, ein paar schwere Tage, mehrere unruhige Nächte oder deine Rückkehr nach einiger Zeit) und, bei einer Nachricht zu einem Verlust oder zu deinem Baby, den Namen, den du dem Baby gegeben hast; nie ein Datum und nie eine Anzahl. Bei einer proaktiven Nachricht zu deinen letzten Tagen (zum Beispiel nach mehreren schweren Tagen oder schlechten Nächten, nach einem Tag ohne Mama Bloom, kurz vor einem Verlust-Jahrestag oder einem Meilenstein deines Babys oder nach deinen ersten Tagen mit Mama Bloom) kann Mama Bloom KI die Worte der Nachricht schreiben, die erscheinen, wenn du Mama Bloom öffnest; auf deinem Sperrbildschirm steht nur eine feste, vorab geschriebene Zeile. Diese Anfrage enthält deine Phase und je nach Nachricht, wie viele schwere Tage oder schlechte Nächte du hattest, welchen Meilenstein dein Baby erreicht, deine häufigsten letzten Stimmungen oder wie viele Einträge du gemacht hast, nie einen Namen. (3) Einen Brief von Mama Bloom nach deinen ersten 7, 30 und 100 Tagen setzt Mama Bloom auf deinem iPhone aus festen Sätzen zusammen; dafür wird nichts gesendet. Bei eingeschaltetem Teilen gespeicherter Kontexte kann Mama Bloom KI ihn stattdessen schreiben, wenn du ihn öffnest, aus deinem Vornamen und den Angaben, wann du meist eincheckst und welchen Teil von Mama Bloom du am meisten nutzt; dieser Text bleibt auf diesem iPhone und wird entfernt, wenn du das Teilen gespeicherter Kontexte ausschaltest. Den Sonntagsbrief beschreibt ein eigener Absatz weiter unten. (4) Wenn du Mama Bloom bittest, ihre Notizen über dich zu aktualisieren, kann die Anfrage bis zu 5 deiner letzten Stimmungsnotizen (jeweils bis zu 80 Zeichen), bis zu 4 Tagebuchauszüge (jeweils bis zu 100 Zeichen), die Emotionen, die du markiert hast, die Zahl schwerer Tage und deine Wochenzusammenfassungen enthalten. PHQ-Antworten, der genaue PHQ-Wert und die Antwort auf Frage 9 werden für keine davon gesendet. Sie gehen über unseren sicheren Proxy an Anthropic (USA), das sie als Standarddaten der kommerziellen API behandelt, normalerweise innerhalb von 30 Tagen löscht (Ausnahmen nennt Abschnitt 7) und nicht zum Modelltraining verwendet.

Der Sonntagsbrief (geändert in v1.4.10): Mama Bloom KI schreibt deinen Sonntagsbrief erst, wenn du ihn öffnest, nie vorher. Mit Mama Bloom+ bekommst du den ganzen Brief, ohne Mama Bloom+ seine erste Seite. Es wird nichts geschrieben, wenn du jünger als 18 bist, und auch nicht, solange Mama Bloom auf deine Antwort auf die Frage wartet, ob du 18 oder älter bist, oder solange Mama Bloom KI ausgeschaltet ist. Für dein Konto kann auf diesem iPhone jede Woche, von Sonntag bis Samstag, ein Brief entstehen; ein Brief, der nicht fertig geschrieben werden konnte, wird dabei nicht mitgerechnet. Bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI geht die Anfrage über unseren sicheren Proxy an Anthropic (USA) und enthält deinen Vornamen, deine Phase, Namen und Alter deines Babys, deinen Geburtstermin, deine letzten 7 Stimmungs-Check-ins mit ihren Notizen, die Zahl schwerer Tage, deinen Schlafdurchschnitt und ob du bei sehr wenig Schlaf stillst, bevorstehende wichtige Daten, deine Gedächtnisnotizen, Themen deiner letzten Gespräche und, beim ganzen Brief, die Zusammenfassung der letzten Woche. Bei ausgeschaltetem Teilen gespeicherter Kontexte schreibt Mama Bloom KI einen allgemeinen Brief oder eine allgemeine erste Seite, ohne etwas von deinen Angaben zu verwenden. Jede Anfrage für den Brief enthält auch den Wochentag und die Tageszeit (Morgen, Nachmittag, Abend oder Nacht) nach der Uhr deines iPhones, gleich ob das Teilen gespeicherter Kontexte ein- oder ausgeschaltet ist. Damit auf jedem iPhone höchstens ein Brief pro Woche entsteht, gleich mit welchem Konto du dort angemeldet bist, enthält die Anfrage außerdem das Datum des Sonntags dieser Woche, und unsere Server speichern für diese Woche eine Markierung mit deiner Installationskennung, die nach 9 Tagen von selbst abläuft (Abschnitt 7). Anthropic behandelt diese Anfragen als Standarddaten der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining.

Wöchentliche Einblicke — die Beobachtung „Körper & Geist“ (Mama Bloom+; geändert in v1.4.9): „Wöchentliche Einblicke“ kann eine kurze Beobachtung zeigen, die die Werte deiner Woche zu Körper und Stimmung miteinander verbindet. Mama Bloom bittet zuerst Apples Modell auf dem Gerät, sie auf deinem iPhone zu schreiben; dafür wird nichts gesendet. Nur wenn das Modell auf dem Gerät sie nicht schreiben kann, fragt Mama Bloom stattdessen ihre Cloud-KI, und nur wenn du darum bittest und solange alle drei aktiv sind: Mama Bloom KI (ausschalten über Profil → Dateneinwilligung widerrufen), Mama Bloom+ und das Teilen gespeicherter Kontexte für personalisierte KI. In den USA muss außerdem deine Einwilligung in das Teilen von Verbrauchergesundheitsdaten erteilt sein. Diese Anfrage geht über unseren sicheren Proxy an Anthropic (USA) und enthält nur den Tagesdurchschnitt deiner Schritte der letzten 7 Tage und deinen durchschnittlichen Schlaf dieser Woche, bis zu fünf Stimmungswörter aus deinen Check-ins, den Durchschnitt deiner letzten Messungen der Ruheherzfrequenz, Anzahl und Gesamtminuten deiner Trainingseinheiten der letzten 7 Tage sowie die Sprache der App (Schritte, Ruheherzfrequenz und Trainingseinheiten stammen aus Apple Health, der Schlaf aus deinem Schlaftagebuch) — nie Stimmungsnotizen, Tagebuchtext, deinen Namen, deine Phase oder dein Wohlbefindensband. „Wöchentliche Einblicke“ zeigt dir, bevor du darum bittest, was gesendet würde, und jedes Mal, wenn die Cloud-KI die Beobachtung schreibt, einen Datenbeleg darüber, was gesendet wurde. Bei ausgeschaltetem Teilen gespeicherter Kontexte wird für diese Beobachtung nichts gesendet, und Mama Bloom zeigt deine Woche ohne eine von der Cloud-KI geschriebene Beobachtung. Vor v1.9.9 konnte Mama Bloom ihre Cloud-KI bei Mitgliedern von Mama Bloom+ immer dann um diese Beobachtung bitten, wenn Mama Bloom KI eingeschaltet war, auch bei ausgeschaltetem Teilen gespeicherter Kontexte; die Anfrage enthielt dieselben Arten von Werten und Stimmungswörtern, und diese Datenschutzerklärung hat das nicht beschrieben. Anthropic behandelt diese Anfrage als Standarddaten der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining.

Partner-Hub-Briefings (Mama Bloom+): Wenn du den Partner-Hub öffnest, kann Mama Bloom KI das wöchentliche Partner-Briefing und die tägliche Partner-Aktion schreiben, nur solange Mama Bloom KI, Mama Bloom+ und das Teilen gespeicherter Kontexte für personalisierte KI aktiv sind; in den USA muss außerdem deine Einwilligung in das Teilen von Verbrauchergesundheitsdaten erteilt sein. Die Anfrage für das wöchentliche Briefing enthält nur deine Phase, die Stimmungswörter deiner letzten 7 Check-ins, die 3 Emotionen, die du darin am häufigsten markiert hast, die durchschnittliche Dauer deiner letzten 7 erfassten Nächte und die Sprache der App. Die Anfrage für die tägliche Aktion enthält nur deine Phase, die Stimmungswörter deiner letzten 3 Check-ins, die Dauer deiner zuletzt erfassten Nacht und die Sprache der App. Keine der beiden enthält Stimmungsnotizen, Tagebuchtext, deinen Namen oder den Namen deines Partners oder deiner Partnerin. Beide gehen über unseren sicheren Proxy an Anthropic (USA), das sie als Standarddaten der kommerziellen API behandelt, normalerweise innerhalb von 30 Tagen löscht (Ausnahmen nennt Abschnitt 7) und nicht zum Modelltraining verwendet. Bei ausgeschaltetem Teilen gespeicherter Kontexte wird dafür nichts gesendet.

Die Bibliothek und der Morgen-Check-in (geändert in v1.4.10): Wenn du die Bibliothek öffnest, schreibt Mama Bloom KI deine Artikel unter „Für dich“ und, mit Mama Bloom+, deinen täglichen Text. Mit Mama Bloom+ kann sie außerdem eine kurze Notiz und eine Reflexionsfrage schreiben, wenn du einen Artikel öffnest, und eine kurze Notiz, wenn du in der Bibliothek einen Bereich öffnest. Mit Mama Bloom+ schreibt Mama Bloom KI die Notiz des Tages, wenn du sie im Morgen-Check-in mit einem Tippen öffnest; wurde in den letzten 7 Tagen eine Notiz im Morgen-Check-in für dich geschrieben, bereitet Mama Bloom die Notiz des Tages außerdem vor, ohne dass du fragst, wenn du Mama Bloom zwischen 5:00 und 12:00 Uhr öffnest, damit sie bereitliegt, wenn du den Morgen-Check-in öffnest. Jede dieser Anfragen geht über unseren sicheren Proxy an Anthropic (USA). Ohne Mama Bloom+ oder bei ausgeschaltetem Teilen gespeicherter Kontexte für personalisierte KI enthält eine Anfrage der Bibliothek nur ein Thema, den Titel des Artikels oder den Namen des Bereichs und die Sprache der App; bei ausgeschaltetem Teilen gespeicherter Kontexte enthält die Anfrage für den Morgen-Check-in nur das heutige Datum und die Sprache der App. Mit Mama Bloom+ und bei eingeschaltetem Teilen gespeicherter Kontexte können diese Anfragen außerdem enthalten: für die Artikel unter „Für dich“ und den täglichen Text deinen Vornamen, deine Phase (in der Schwangerschaft mit dem Trimester), wie viele Wochen es noch bis zu deinem Geburtstermin sind, nach der Geburt den Namen deines Babys und ungefähr, wie alt es ist, deine letzten 7 Stimmungs-Check-ins mit ihren Notizen (jeweils bis zu 100 Zeichen) und wie viele deiner letzten Tage schwer waren, deine durchschnittliche Schlafdauer in deinen letzten 5 erfassten Nächten, nach der Geburt die Geburtsart und die Ernährungsmethode, bis zu vier Anliegen, die du markiert hast, ein abgeleitetes Wohlbefindensband, ob du wenig Unterstützung durch Partner oder Familie angegeben hast und ob du eine frühere psychische Vorgeschichte angegeben hast; für die Notiz zu einem Artikel deinen Vornamen, deine Phase, nach der Geburt den Namen deines Babys, deine durchschnittliche Schlafdauer in deinen letzten 3 erfassten Nächten, deine letzten 7 Stimmungs-Check-ins mit ihren Notizen (jeweils bis zu 100 Zeichen) und bis zu drei Anliegen; für eine Reflexionsfrage deinen Vornamen und deine Phase; für die Notiz zu einem Bereich deinen Vornamen, deine Phase, die Stimmungswörter deiner letzten 4 Check-ins und bis zu zwei Anliegen; für die Notiz im Morgen-Check-in deinen Vornamen, deine Phase (in der Schwangerschaft mit dem Trimester), nach der Geburt den Namen deines Babys, was du Mama Bloom als dein größtes Bedürfnis genannt hast und wann du Unterstützung bevorzugst, die Stimmungswörter deiner Check-ins der letzten 3 Tage und wie lange du in deiner zuletzt erfassten Nacht geschlafen hast und wie oft du aufgewacht bist. Was Mama Bloom KI hier für dich schreibt, bleibt auf diesem iPhone. PHQ-Antworten, der genaue PHQ-Wert und die Antwort auf Frage 9 werden für keine davon gesendet. In den USA muss außerdem deine Einwilligung in das Teilen von Verbrauchergesundheitsdaten erteilt sein. Anthropic behandelt diese Anfragen als Standarddaten der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining.

Anfragen in Werkzeugen (geändert in v1.4.9): Wenn du in einem Werkzeug von Mama Bloom etwas anforderst, zum Beispiel eine Schlafgeschichte, einen Klangvorschlag unter „Weißes Rauschen“ (wenn Apples Modell auf dem Gerät keinen machen kann), eine Routine vom Schlafcoach, deine wöchentliche Checkliste, einen Entwurf für einen Brief an dein Baby oder eine Antwort zu Ernährung, Gewicht, zum Wachstum deines Babys oder zu einem Termin, geht die Anfrage über unseren sicheren Proxy an Anthropic (USA) und enthält, was du anforderst oder eingibst. Nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI kann sie außerdem deinen Vornamen, deine Phase (mit dem Trimester oder der Schwangerschaftswoche) und Angaben enthalten, die das Werkzeug braucht, etwa den Namen und das Alter deines Babys in Monaten oder deine durchschnittliche Schlafdauer und wie oft du in deinen letzten fünf erfassten Nächten aufgewacht bist. Werkzeuge, deren Antwort auf deinen Einträgen beruht, etwa „Mama Blooms Wachstumshinweis“ in der Wachstumskurve, „Mama Bloom Muster“, „Mit Mama Bloom lesen“ in Artikeln und die persönliche Notiz in der Ernährungs-Beratung, senden bei ausgeschaltetem Teilen gespeicherter Kontexte nichts und zeigen dir, bevor du fragst, was gesendet würde. Keine Anfrage enthält dein Alter. Vor v1.9.9 haben diese Werkzeuge deinen Vornamen, deine Phase und solche Angaben auch bei ausgeschaltetem Teilen gespeicherter Kontexte gesendet, manche, ohne dass du gefragt hast, etwa sobald du das Werkzeug geöffnet oder eine Messung in der Wachstumskurve gespeichert hast; zwei haben auch dein Alter gesendet (die Ernährungs-Beratung und „Brief ans Baby“), und in den USA hat „Mit Mama Bloom lesen“ solche Angaben sogar ohne deine Einwilligung in das Teilen von Verbrauchergesundheitsdaten gesendet. Diese Datenschutzerklärung sagte etwas anderes. Anthropic behandelt diese Anfragen als Standarddaten der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining.

Personen-Gedächtnis (auf dem Gerät): Mama Bloom verwendet Apples NLTagger auf dem Gerät, um Vornamen zu extrahieren, die du in Chat oder Tagebuch erwähnt hast, und bewertet das Sentiment der Erwähnungen lokal. Nur eine kompakte Liste (Name, Rolle wie Partner/Mutter/Doula, Anzahl Erwähnungen) fließt in den an Anthropic gesendeten System-Prompt ein, sofern das Teilen gespeicherter Kontexte eingeschaltet ist — niemals die Sätze, in denen die Namen vorkamen. Wenn du das Teilen gespeicherter Kontexte ausschaltest, verbleibt die Personenliste auf deinem Gerät und wird an keinen Empfänger gesendet.

Kosten- und Token-Telemetrie: Unser Proxy meldet Nutzungsdaten (Input-, Output- und Cache-Tokens) an die App zurück, damit wir dir ungefähre Kostentransparenz anzeigen und Caching verbessern können. Die Aggregation erfolgt auf deinem Gerät. An unseren Analyse-Endpunkt werden nach deiner Einwilligung nur kategoriale Analyseereignisse gesendet (z. B. „KI-Zug-Kosten in Cent für ein bestimmtes Modell“ und „Cache-Trefferquote in Prozent“). Keine Prompts, keine Antworten, keine personenbezogenen Daten sind in diesen Ereignissen enthalten.

Anthropic Batch-API: Einige länger laufende Aufgaben (das Daily Pack und ein wöchentlicher Gedächtnisdurchlauf) werden über Anthropics native Batch-API abgewickelt, die Anfragen innerhalb von 24 Stunden zu geringeren Kosten verarbeitet. Der Datenfluss ist identisch mit der entsprechenden synchronen Anfrage; v1.8 fügt keine Nutzertagebuch-Dateireferenz bei. Unterscheidend ist nur die Zustellplanung. Kann eine Daily-Pack-Anfrage nicht abgeschlossen werden, darf Apples Modell auf dem Gerät diese Ausgabe vollständig auf deinem iPhone schreiben; für diese Ausweichlösung verlässt nichts Zusätzliches dein Gerät, und die Seite ist mit „Auf diesem iPhone geschrieben“ gekennzeichnet.

Strukturierte KI-Ausgaben: Bestimmte kurze Klassifikationsaufrufe (z. B. der Memory-Note-Klassifikator) verlangen von Haiku eine strikt strukturierte JSON-Antwort über Anthropics Tool-Use-Feature. Dies ist eine technische Zuverlässigkeitsverbesserung und ändert nicht, welche Daten gesendet werden.

Infrastruktur-Caching: Unser Proxy nutzt Anthropics ephemeren Cache (cache_control mit ttl=1h) für stabile Prompt-Inhalte (z. B. System-Prompts und Referenzen auf das gebündelte Korpus), um Latenz und Kosten zu reduzieren. Zwischengespeicherte Inhalte werden bis zu einer Stunde in Anthropics Inferenzinfrastruktur gehalten und sind auf den Anfragekontext beschränkt; es handelt sich um eine serverseitige Performance-Optimierung, die nicht verändert, was dein Gerät verlässt.

Apple Spracherkennung: Sprachaufzeichnung im Tagebuch und Sprachmodus nutzen SFSpeechRecognizer ausschließlich mit vorgeschriebener Erkennung auf dem Gerät. Die App erlaubt keine Server-Transkription. Kann die gewählte Sprache oder das Gerät keine lokale Erkennung bereitstellen, meldet die Funktion, dass Spracheingabe nicht verfügbar ist. Roh-Audio verbleibt auf dem Gerät; der resultierende Text wird lokal an die App zurückgegeben.

Vorab aufgezeichnete Sprachinhalte (ElevenLabs): Einige geführte Audioinhalte in der App (zum Beispiel bestimmte Hypnobirthing- und Schlafcoach-Erzählungen) wurden während der Entwicklung mit der Text-to-Speech-Technologie von ElevenLabs erstellt und sind als feste Audiodateien in die App eingebettet. Zu keinem Zeitpunkt werden Nutzerdaten an ElevenLabs gesendet, und ElevenLabs wird während deiner Nutzung der App nicht kontaktiert — die Wiedergabe erfolgt vollständig auf deinem Gerät. ElevenLabs ist daher ein Zulieferer für die Inhaltserstellung und kein Empfänger deiner personenbezogenen Daten.

iCloud-Wiederherstellung früherer Daten und Kontomarker: Aktuelle Wellness- und Baby-Datensätze werden nicht mit iCloud synchronisiert. Ein älterer verschlüsselter Schnappschuss, den eine Mama-Bloom-Version vor v1.8 gespeichert hat, kann einmalig auf dem iPhone wiederhergestellt werden, das ihn gespeichert hat. Gelöscht wird er, sobald die wiederhergestellten Datensätze sicher auf diesem iPhone gespeichert sind, oder wenn du dein Konto löschst (Abschnitte 7 und 9). Ein datensparsamer iCloud-Key-Value-Marker zur Kontowiederherstellung darf verbleiben; er enthält keine Wellness-Datensätze.

Apple App Store: Wir erhalten ausschließlich deinen Abonnementstatus. Zahlungsdaten sind für uns zu keinem Zeitpunkt einsehbar.

Absturzberichte: Wir nutzen Apple MetricKit (in iOS integriert) für anonymisierte Absturz- und Leistungsdiagnosen. Kein Drittanbieter-Absturzberichts-SDK ist installiert. Absturzmetadaten werden von Apple verarbeitet und uns in nicht-identifizierender Form übermittelt.

Analysen: Nach deiner Einwilligung erheben wir minimale pseudonyme Nutzungsdaten (z. B. geöffnete Funktionen, abgeschlossenes Onboarding, Abonnementstatus, das Ein- und Ausschalten von „Gehalten“, KI-Zug-Kostenband, Cache-Trefferquoten-Snapshot sowie Absturz-/Diagnoseereignisse) und verarbeiten sie über unsere verwaltete Infrastruktur via Upstash (unser Rate-Limit- und Analyse-Key-Value-Store). Jedes Mal, wenn die App in den Vordergrund geholt wird, zeichnet ein Analyseereignis außerdem die Tagesstufe auf, die angibt, wie viele Tage seit dem ersten Öffnen dieser Installation vergangen sind (am Tag des ersten Öffnens, am Tag danach, nach 2 bis 6, 7 bis 13, 14 bis 29 oder 30 und mehr Tagen), und wie die App geöffnet wurde (über ihr Symbol, eine Mitteilung, ein Widget, Siri, Spotlight, eine Live-Aktivität oder einen Link); dieses Ereignis nennt nie, welche Mitteilung, welches Widget oder welcher Kurzbefehl es war, und nie, worum es ging. Wie jedes Analyseereignis werden diese Angaben 30 Tage lang mit deiner pseudonymen Analyse-Kennung gespeichert. Die Tagesstufe wird außerdem bis zu 90 Tage in einer Liste von Kennungen gespeichert, damit wir sehen, ob Menschen wiederkommen. Nach diesen 30 Tagen ist die Art, wie die App geöffnet wurde, nur noch in einer täglichen Zählung enthalten. Vor v1.9.9 hat die App außerdem die genaue Zahl der Tage seit dem ersten Öffnen dieser Installation gesendet. Bis zum 4. Oktober 2026 haben unsere Server deine pseudonyme Analyse-Kennung in eine Liste für genau diesen Tag aufgenommen, die bis zu 90 Tage aufbewahrt wird, und die Zahl selbst im Rohereignis gespeichert, das 30 Tage aufbewahrt wird. Am 4. Oktober 2026 haben unsere Server beides eingestellt. Die Listen laufen spätestens am 2. Januar 2027 ab, und die Rohereignisse mit dieser Zahl laufen spätestens am 3. November 2026 ab. Bis zum 5. Oktober 2026 enthielten manche Analyseereignisse außerdem Namen, die deine Phase oder etwas über deine Gesundheit zeigen können, zum Beispiel den Namen eines geöffneten Tools (etwa „Kindsbewegungen“) oder Bildschirms, einer angetippten Mitteilung oder einer Nachricht, die Mama Bloom vor einem Verlust-Jahrestag für dich vorbereitet hat. Unsere Server haben sie 30 Tage lang mit deiner pseudonymen Analyse-Kennung im Rohereignis gespeichert. Seit diesem Tag speichern unsere Server solche Namen nicht mehr mit deiner Kennung, und die zuvor gespeicherten Rohereignisse laufen innerhalb von 30 Tagen ab. Analyseereignisse enthalten keine Namen von Personen, keine E-Mail-Adressen, Tagebuchinhalte oder Stimmungsnotizen, keinen Chattext, keinen Text des Krisenklassifikators und keine Gesundheitsdaten. Kein Drittanbieter-Analysedienstleister erhält deine Daten.

Rate-Limiting: Eine pseudonyme Gerätekennung (im iOS-Schlüsselbund erzeugt) wird an Upstash zur Rate-Begrenzung und Missbrauchsprävention gesendet. Die Datensätze, die sie für die Rate-Begrenzung enthalten, laufen innerhalb von 48 Stunden ab, außer der wöchentlichen Markierung für den Sonntagsbrief, die nach 9 Tagen abläuft. Für Apples App-Attest-Prüfung, die zeigt, dass eine Anfrage von einer echten Mama-Bloom-App kommt, speichern unsere Server außerdem einen Datensatz, der die Kennung mit dem App-Attest-Schlüssel deines iPhones verknüpft; er läuft 90 Tage nach seiner letzten Verwendung ab. Unsere Server speichern außerdem einen Datensatz, der die Kennung mit einem Einwegcode deines Kontos verknüpft, damit die Löschung deines Kontos jedes iPhone erreicht, das du genutzt hast; er läuft 90 Tage nach seiner letzten Verwendung ab und wird mit deinem Konto gelöscht (Abschnitt 7).

Passwort-Zurücksetzung & Support-E-Mail: Wenn du eine Passwort-Zurücksetzung anforderst oder ein In-App-Support-Ticket absendest, wird der relevante Text an Resend.com (transaktionaler E-Mail-Dienstleister) übermittelt, damit wir den OTP zustellen oder deine Nachricht an support@mamabloom.app weiterleiten können. Bei Support-Tickets werden zusätzlich, sofern du die Option „App-Infos mitsenden“ ausdrücklich aktivierst, begrenzte nicht-sensible Diagnosefelder (App-Version, iOS-Version, Phase, Abo-Status, Geräte-Sprache) mitgesendet. Tagebucheinträge, Stimmungsprotokolle, Gesundheitsdaten und Zugangsdaten werden niemals mitgesendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb eines Support-Dienstes). Aufbewahrung: Support-Tickets bis zu 12 Monate nach Abschluss; Resend-Zustellungsprotokolle gemäß deren Bedingungen (ca. 30 Tage). Du kannst jederzeit die Löschung eines Tickets unter support@mamabloom.app anfordern.

Keine Werbe-SDKs, Drittanbieter-Analysefirmen oder Datenbroker erhalten deine Daten.

6a. Baby-KI-Anfragen — genauer Datenbeleg#

Die Baby-Tracker speichern aktuelle Einträge ausschließlich im geschützten lokalen Speicher deines Geräts; sie werden nicht mit iCloud synchronisiert. Das bloße Öffnen eines Trackers, Starten oder Beenden eines Timers, Speichern eines Eintrags, Anzeigen von Mustern oder Öffnen von Kleine Tage sendet keinen Baby-Eintrag an Anthropic. Bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI darf der allgemeine Begleiter-Chat nur den in Abschnitt 6 genannten Baby-Kontext verwenden. Davon getrennt nutzen zwei von dir ausgelöste Baby-Werkzeug-Anfragen engere Datenbelege:

• Fütterungsfragen: Wenn du auf „Mama Bloom fragen“ tippst, werden deine eingegebenen Wörter über unseren sicheren Proxy an Anthropic gesendet. Bei ausgeschaltetem Teilen gespeicherter Kontexte für personalisierte KI ist diese eingegebene Frage der einzige einbezogene Nutzerinhalt; es wird kein gespeicherter Baby-Eintrag hinzugefügt. Bei eingeschaltetem Teilen kann die Anfrage zusätzlich das ungefähre Alter in vollendeten Monaten und bis zu fünf letzte abgeschlossene Fütterungseinträge, neueste zuerst, enthalten — begrenzt auf Minuten seit dem Ende, gemessene Dauer in Minuten und Art der Fütterung (Brust, Flasche, Kombination oder nicht angegeben). Die App fügt Babynamen, Notizen, Mengen, genaue Daten oder andere App-Einträge nicht automatisch hinzu. Alles, was du selbst eingibst, wird als Teil der Frage gesendet.

• KI-Schlaflesung in Kleine Tage (nur Mama Bloom+): Eine Anfrage wird nur gesendet, wenn Mama Bloom+ und das Teilen gespeicherter Kontexte für personalisierte KI aktiv sind und du die Lesung anforderst. Sie enthält das ungefähre Alter und höchstens die letzten fünf abgeschlossenen Schlafzusammenfassungen, begrenzt auf Beginn, Dauer und Aufwachzeit. Babyname, Notizen, Füttern, Windeln, Wachstum und andere Baby-Einträge sind ausgeschlossen.

Beide Anfragen werden über denselben sicheren serverseitigen Proxy aus Abschnitt 6 an Anthropic (USA) gesendet. Der Proxy speichert ihre Prompt-Inhalte nicht, und Mama Bloom führt keine separate Server-Datenbank deiner gespeicherten Baby-Protokolle. Anthropic behandelt Ein- und Ausgaben als Standarddaten der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt Abschnitt 7) und verwendet sie nicht zum Modelltraining. Wir verkaufen Baby-Daten nicht, verwenden sie nicht für Werbung und geben sie nicht an Datenbroker weiter. Wenn du das Teilen gespeicherter Kontexte für personalisierte KI ausschaltest, werden gespeichertes Babyalter, Fütterungszusammenfassungen und Schlafzusammenfassungen nicht einbezogen; bei Fütterungsfragen kann weiterhin nur die von dir eingegebene Frage gesendet werden, während Kleine Tage keine KI-Schlaflesungsanfrage sendet.

7. Datenspeicherung, Sicherheit und Aufbewahrung#

Aktuelle Wellness- und Baby-Datensätze werden im geschützten lokalen Speicher abgelegt und unterliegen im Ruhezustand dem iOS-Datenschutz. v1.8 schreibt diese Datensätze nicht in iCloud Documents und bietet keine laufende iCloud-Datensatzsynchronisierung. Wir führen keine separate Cloud-Datenbank für Wellness-Aufzeichnungen; begrenzte Betriebsdienste wie unser sicherer Proxy und der zustimmungsbasierte Analyse-Endpunkt laufen auf verwalteter Infrastruktur. Konto-Wiederherstellung (E-Mail-Konten): Der Einweg-Hash der E-Mail, der die Wiederherstellung ermöglicht, wird so lange gespeichert, wie dein Konto besteht, und mit ihm gelöscht; sechsstellige Wiederherstellungscodes verfallen nach spätestens 10 Minuten und sind nur einmal gültig.

Einmalige Wiederherstellung früherer Daten: Eine Mama-Bloom-Version vor v1.8 hat möglicherweise einen verschlüsselten Schnappschuss deiner Datensätze in deinem privaten iCloud-Container gespeichert. Dieser ältere Schnappschuss lässt sich nur auf dem iPhone lesen, das ihn gespeichert hat. Wenn du dich auf diesem iPhone anmeldest, kann Mama Bloom diesen Schnappschuss einmalig lesen, die wiederhergestellten Datensätze in den geschützten lokalen Speicher schreiben, diese lokale Speicherung prüfen und erst danach den Schnappschuss löschen. Schlägt die Prüfung fehl, wird nichts gelöscht, und der Schnappschuss bleibt in deiner iCloud. Eine Wiederherstellung ändert weder die Phase (zum Beispiel Schwangerschaft oder Kinderwunsch), die dieses iPhone bereits kennt, noch deine Entscheidungen zum Teilen gespeicherter Kontexte für personalisierte KI, zum Teilen mit deinem Partner oder deiner Partnerin und zu den Analysen. Weil der Schnappschuss älter ist, fehlen darin möglicherweise deine neuesten Einträge, und Fotos gehörten nie dazu. Ein datensparsamer iCloud-Key-Value-Marker zur Kontowiederherstellung darf verbleiben, enthält jedoch weder Tagebuch-, Stimmungs-, Symptom-, Baby-, Therapie- oder Medikamentendaten noch andere Wellness-Datensätze.

Wenn du dieses Gerät wechselst, verlierst oder löschst: Aktuelle Datensätze liegen ausschließlich im geschützten Speicher dieses iPhones. Dieser Speicher ist vom iCloud-Backup und von Sicherungen auf einem Computer (über den Finder oder iTunes) ausgenommen; eine Sicherung bringt deine Datensätze also nie auf ein anderes iPhone. Dein Profilfoto, deine Favoriten und deine Wochencheckliste werden genauso aufbewahrt (seit v1.4.10), ebenso dein Geburtsjahr, falls du es eingegeben hast, die Briefe, die Mama Bloom KI nach deinen ersten 7, 30 und 100 Tagen geschrieben hat, und, für einen Tag oder länger nach einem PHQ-9-Check, die Markierung, dass dir Mama Bloom eine Nachricht zur Unterstützung gesendet hat (neu in v1.4.11). Im Schlüsselbund dieses iPhones bewahrt Mama Bloom auf, ob „Gehalten“ eingeschaltet ist und wann Mama Bloom es dir zuletzt vorgeschlagen hat, ob Mama Bloom zu deiner Phase nichts mehr zeigt und schickt (weil du darum gebeten oder Mama Bloom beim Ändern deiner Phase einen Verlust mitgeteilt hast) und für welche Jahrestage eines Verlusts dich schon eine Nachricht erreicht hat (neu in v1.4.11); diese Angaben bleiben bei deinem Konto, wenn du dich abmeldest. Im Schlüsselbund liegen auch deine Phase und der Nachweis deiner Einwilligung, der eine Kopie deines Geburtsjahrs und deine Entscheidung zu den Analysen enthält. Nur dieses iPhone kann lesen, was Mama Bloom im Schlüsselbund aufbewahrt; eine Sicherung kann es also nur auf dieses iPhone zurückbringen, auf kein anderes. iOS lässt Mama Bloom diese Angaben auch bei gesperrtem iPhone lesen, sobald du dein iPhone nach einem Neustart zum ersten Mal entsperrt hast, damit Mama Bloom sich auch dann an deine Entscheidungen halten kann. Löschst du die App, aber nicht dein Konto, bleiben diese Angaben im Schlüsselbund dieses iPhones, und wenn du angemeldet warst, bleibst du auf diesem iPhone angemeldet: Wird Mama Bloom hier neu installiert, bist du schon mit deinem Konto angemeldet, und diese Angaben gelten wieder. „Mein Konto löschen“ und „Alle meine Daten löschen“ entfernen sie und melden dich ab; wenn du alle Inhalte und Einstellungen dieses iPhones löschst, werden sie ebenfalls entfernt. Was eine frühere Version von Mama Bloom von den Angaben gespeichert hat, die oben mit „neu in v1.4.11“ gekennzeichnet sind, wird an den jeweils neuen Ort verschoben, sobald du Mama Bloom das nächste Mal öffnest und dabei mit deinem Konto angemeldet bist; was eine frühere Version von deinem Profilfoto, deinen Favoriten und deiner Wochencheckliste gespeichert hat, erhält diesen Schutz, sobald Mama Bloom es das nächste Mal liest, dein Profilfoto, sobald du das nächste Mal dein Profil öffnest. Solange eine Angabe noch nicht verschoben ist, bleibt sie bei den gewöhnlichen App-Daten. Kann Mama Bloom eine dieser drei Angaben — dein Geburtsjahr, dass „Gehalten“ eingeschaltet ist oder dass Mama Bloom zu deiner Phase nichts mehr zeigt und schickt — in dem Moment nicht an ihrem neuen Ort speichern, bewahrt Mama Bloom sie bei den gewöhnlichen App-Daten auf, bis das möglich ist. Einige kleinere App-Daten, zum Beispiel deine Liste der Support-Tickets, App-Einstellungen, eine Favoritenliste für Babynamen aus einer älteren Version von Mama Bloom und Markierungen dazu, wie du Mama Bloom nutzt, etwa welche Werkzeuge du geöffnet hast und wo du in einer Geschichte oder Meditation aufgehört hast, sind gewöhnliche App-Daten, die eine Sicherung mitnehmen kann. Was du in Apple Health speicherst, bewahrt Apple Health nach deinen Health- und iCloud-Einstellungen auf, nicht Mama Bloom. Deine Datensätze wandern nicht von selbst auf ein neues oder ersetztes iPhone, und weder Mama Bloom noch Apple können sie dort für dich wiederherstellen. Deine E-Mail-Zugangsdaten liegen nur im Schlüsselbund dieses Geräts und wandern ebenfalls nicht mit. Der oben beschriebene datensatzfreie iCloud-Key-Value-Marker kann einem neuen Gerät ermöglichen zu erkennen, dass ein Konto besteht, und eine Passwortzurücksetzung anzubieten; das stellt den Zugang zum selben Konto wieder her, nicht deine Datensätze, und es steht nicht zur Verfügung, wenn du dich mit einem anderen Apple Account anmeldest oder iCloud deaktiviert hast. Speichere eine Kopie deiner Datensätze, bevor du ein Gerät ersetzt, löschst oder weitergibst (Profil → Datenschutz & Daten → Alle meine Daten exportieren); du kannst sie dann, wie unten beschrieben, auf deinem neuen iPhone in Mama Bloom einlesen.

Deine Datensätze auf ein neues iPhone mitnehmen (neu in v1.4.9): Die Kopie, die du mit „Alle meine Daten exportieren“ speicherst, ist eine Datei, die du aufbewahrst, wo du möchtest; wir erhalten sie nie. Die Datei ist nicht verschlüsselt: Sie enthält deine Datensätze in lesbarer Form, sodass jede Person, die die Datei hat, sie lesen kann — bewahre sie an einem privaten Ort auf. Wo immer du sie aufbewahrst und wohin du sie auch sendest, verarbeitet der jeweilige Dienst sie nach seinen eigenen Bedingungen. Auf jedem iPhone, auf dem du bei Mama Bloom angemeldet bist, etwa einem neuen oder zurückgesetzten, kannst du diese Datei auswählen und in Mama Bloom einlesen (in den USA, solange deine Einwilligung zur Erfassung deiner Verbrauchergesundheitsdaten erteilt ist). Mama Bloom liest die Datei nur auf deinem iPhone, prüft sie und zeigt dir, was sie hinzufügen würde, bevor sich etwas ändert; nichts daraus wird an uns gesendet. Eine eingelesene Kopie bringt nie Einwilligungen oder Datenschutz-Entscheidungen mit: Das Teilen gespeicherter Kontexte für personalisierte KI, das Teilen mit deinem Partner oder deiner Partnerin, die Analysen und deine Berechtigungen für Apple Health bleiben so, wie du sie auf diesem iPhone eingestellt hast, und eine Phase, die dieses iPhone bereits kennt, wird nicht geändert. Hat dieses iPhone für dein Konto bereits Datensätze, fügt die Kopie nur hinzu, was auf diesem iPhone fehlt, und ändert die Datensätze nicht, die schon da sind. Tagebucheinträge, die du auf diesem iPhone gelöscht hast, bleiben gelöscht, außer du entscheidest dich, sie zurückzuholen; alles andere, was du hier nach dem Speichern der Kopie gelöscht hast, kann wieder erscheinen, auch Personen, die du mit einer Version von Mama Bloom vor v1.9.10 entfernt hast, und Gedächtnisnotizen; du kannst es erneut löschen. Eine Person, die Mama Bloom hier ab v1.9.10 vergessen sollte, kommt nicht zurück. Bei einer Kopie, die mit einer Version von Mama Bloom vor v1.9.9 gespeichert wurde, kann Mama Bloom nicht immer erkennen, welche Tagebucheinträge du auf diesem iPhone gelöscht hast; deshalb kann ein solcher Eintrag wieder erscheinen. Mama Bloom sagt dir das, bevor sich etwas ändert, und du kannst ihn erneut löschen. Stammt die Kopie aus einem anderen Mama-Bloom-Konto, zeigt Mama Bloom, für wen sie gespeichert wurde (den Vornamen und die teilweise verdeckte E-Mail-Adresse, soweit die Kopie sie enthält), und liest sie erst ein, nachdem du bestätigt hast, dass es deine ist; dann kommen nur deine Datensätze mit — keine Gespräche, Gedächtnisnotizen und Gesprächszusammenfassungen, keine Personenliste, keine gespeicherten Antworten und weder Sonntagsbriefe noch andere Texte, die Mama Bloom für dich geschrieben hat. Keine Kopie, die du speicherst, enthält deine Antworten auf die einzelnen PHQ-9-Fragen; eine Kopie, die mit Mama Bloom v1.9.9 oder neuer gespeichert wurde, enthält deine PHQ-9-Ergebnisse wie in Abschnitt 3 beschrieben. Eine Kopie bringt möglicherweise nicht alles zurück: Aus einer Kopie, die mit einer älteren Version von Mama Bloom gespeichert wurde, können deine Gespräche und die meisten Arten von Fotos nicht mitkommen, und wenn du viele Fotos hast, kann eine Kopie einige ältere davon weglassen. Mama Bloom sagt dir, was sich nicht einlesen ließ.

Aufbewahrung: Aktuelle Wellness-Aufzeichnungen verbleiben auf dem Gerät, bis du sie löschst. Über Profil → Mein Konto löschen entfernst du lokale Daten und stößt die Bereinigung der zugehörigen Betriebsdaten an, die wir direkt kontrollieren. Bestimmte Hosting-Provider-Logs können für einen begrenzten Zeitraum entsprechend deren Standard-Aufbewahrungsfristen und gesetzlichen Pflichten bestehen bleiben.

Spezifische Aufbewahrungsfristen:

• Chatnachrichten und andere Anfragen an Anthropic (Abschnitte 6 und 6a): Anthropic verwendet sie nicht zum Modelltraining. Standardmäßig löscht Anthropic jede Anfrage und ihre Antwort automatisch innerhalb von 30 Tagen. Länger bewahrt Anthropic sie nur auf, um seine Nutzungsrichtlinie (anthropic.com/legal/aup) durchzusetzen, oder wenn das Gesetz es verlangt: Stufen die automatischen Sicherheitssysteme von Anthropic eine Anfrage als Verstoß gegen diese Richtlinie ein, kann Anthropic die Anfrage und die Antwort bis zu 2 Jahre aufbewahren und die Sicherheitsbewertungen seiner Systeme dazu bis zu 7 Jahre. Mama Bloom hat mit Anthropic keine gesonderte Vereinbarung, die diese Fristen ändert, und legt deine Daten nicht in Anthropic Files ab, wo Dateien bleiben, bis sie gelöscht werden; Anthropic Files enthält nur die eigene Bibliothek von Mama Bloom aus Wellness-Artikeln, Übungen und MamaTipps (Abschnitt 6). Mama Bloom speichert Chatnachrichten nicht auf eigenen Servern. Explizites Prompt-Caching kann Inhaltsblöcke innerhalb dieses Verarbeitungszeitraums bis zu 1 Stunde halten
• Gedächtnisnotizen und Gesprächszusammenfassungen: nur auf diesem Gerät. Notizen bleiben nicht unbegrenzt — jede Kategorie hält nur wenige, eine Notiz, auf die Mama Bloom länger nicht zurückgegriffen hat, verblasst und entfällt in den folgenden Wochen, eine stärkere neue Notiz kann die schwächste ersetzen, und du kannst jede Notiz jederzeit vergessen lassen; ältere Zusammenfassungen werden zu einem kurzen Auszug verdichtet. Beiseitegelegte Notizen und Zusammenfassungen (Abschnitt 6) bleiben ungenutzt auf diesem Gerät, bis du sie wieder nutzt, deine Phase zurückänderst oder sie vergessen lässt oder dein Konto löschst; beiseitegelegte Notizen verblassen trotzdem wie jede andere Notiz. Ein Einwegcode jedes Namens, den Mama Bloom vergessen sollte, bleibt auf diesem Gerät, damit der Name nicht wieder aufgenommen wird; er ist nie in einer Kopie enthalten, die du speicherst, und wird mit deinem Konto gelöscht. Mit der Löschung deines Kontos werden alle gelöscht; die Gedächtnisanfrage am Gesprächsende folgt der oben genannten Aufbewahrung für Chat-Nachrichten
• Bilder aus Foto-Etikett (Mama Bloom+): Unser Proxy speichert die Bilder nicht. Anthropic behandelt das Foto und freigegebene minimale Angaben zu Phase/Ernährung als Standard-Eingaben der kommerziellen API, löscht sie normalerweise innerhalb von 30 Tagen (Ausnahmen nennt der erste Punkt dieser Liste) und verwendet sie nicht zum Modelltraining. Der Proxy protokolliert weder Bildbytes noch Prompt-Inhalte; er speichert ein 8-stelliges SHA-256-Hash-Präfix sowie begrenzte Betriebsmetadaten gemäß seiner üblichen Sicherheits-/Protokollaufbewahrung
• Gebündeltes Wellness-Korpus in Anthropic Files: im Entwicklerkonto gepflegt; keine Nutzerdaten. Mama Bloom registriert für jede Installation und jedes Konto, die es nutzen, eine eigene Kopie, und unsere Server speichern einen Datensatz zu dieser Kopie mit deiner Installationskennung und einem Einwegcode deines Kontos, bis du dein Konto löschst
• Analyseereignisse: Rohereignisse werden 30 Tage aufbewahrt; Geräteprofil, Tagesaggregate und tägliche Listen pseudonymer Kennungen, etwa nach Tagesstufe (Abschnitt 6), 90 Tage; alle werden nach Ablauf automatisch gelöscht. Bei der Kontolöschung bleiben ein nicht umkehrbarer pseudonymer Analyse-Löschmarker und ein Reparatur-Arbeitsauftrag mit konstantem Wert bestehen, damit verspätete Übertragungen gelöschte Datensätze nicht neu anlegen können. Die 400-Tage-Ablauffrist des Markers wird aktualisiert, solange die Löschbereinigung noch aussteht; nach dem letzten erfolgreichen Bereinigungsversuch läuft er innerhalb von 400 Tagen ab. Der inhaltsfreie Reparaturauftrag bleibt bewusst bestehen, solange der Marker existiert, damit die tägliche Bereinigung verspätete Schreibvorgänge erneut entfernen kann; nach Ablauf des Markers wird er atomar entfernt. Keiner dieser Datensätze enthält Ereignisinhalte, Profildaten, Einwilligungsentscheidungen, eine rohe Konto-ID, E-Mail-Adresse oder Gesundheitsdaten
• Eindeutige KI-Nutzungszahlen: Mama Bloom speichert keine geräte- oder kontobezogenen Mitgliederlisten nur zur Zählung unterschiedlicher KI-Nutzerinnen. Diese Kennzahlen sind nicht verfügbar; die tägliche Bereinigung entfernt frühere Listen aus älteren Builds
• Koordination der Kontolöschung: Kann die Serverbereinigung nicht sofort verifiziert werden, bleibt ein zugriffsbeschränkter v6-Wiederholungsdatensatz ohne feste Ablauffrist bestehen, bis die Bereinigung erfolgreich ist. Er enthält eine Schemaversion und ein deterministisches pseudonymes Anfrage-Generations-Token sowie ausschließlich zur Fertigstellung der Löschung die rohe Konto-ID, das pseudonyme Konto-Token, die Kennung der anfragenden Installation, E-Mail-Adresse, Sprache, übermittelte Analyse-Löschfingerabdrücke, Zeitpunkte von Anfrage und Versuchen sowie bis zu 12 eindeutige kleingeschriebene ASCII-Diagnosecodes im Format operation:category (je höchstens 64 Zeichen). Vorgänge stammen aus einer festen Positivliste; Kategorien sind genau authorization_error, conflict, invalid_input, not_found, operation_failed, provider_error, rate_limited, storage_error, timeout oder unavailable. Die Codes enthalten keinen Redis-Schlüssel, keine Konto-, Geräte-, Datei-, Batch- oder Transaktionskennung, keine E-Mail-Adresse und keine Anbieter- oder Fehlermeldung. Als Apple-Subjektmaterial darf er optional ausschließlich einen validierten, kleingeschriebenen 64-stelligen Hexadezimalwert appleSubjectHash enthalten (den SHA-256-Hash des Apple-Subjekts), damit die dauerhafte Apple-/Kontoverknüpfung zur Löschung gefunden werden kann; der rohe Apple-Subjektwert und ein Apple-Identitäts-JWT/-Token werden niemals gespeichert. Jeder gespeicherte Auftrag vor v6, einschließlich v5, sowie alle nicht normalisierten Diagnosewerte werden vor der Wiederholungsarbeit dauerhaft normalisiert/auf v6 migriert. Schlägt dieses Migrationsschreiben fehl, wird der Versuch beendet und später wiederholt. Bei verifizierter Bereinigung werden der genaue Datensatz bloom:account-auth:{accountToken}, sämtliche Bindungen bloom:account-auth-device:{accountToken}:* und alle veralteten Artefakte bloom:account-bootstrap:{accountToken}:* entfernt. Eine Verknüpfung bloom:apple-account:{appleSubjectHash} wird nur gelöscht, wenn ihr gespeichertes accountToken genau dem Löschziel entspricht; eine gespeicherte Abweichung oder jeder Lese-/Löschfehler wird als Fehler erfasst und lässt den dauerhaften Auftrag ausstehend. Eine fehlende Verknüpfung gilt als bereits entfernt. Der Datensatz enthält keine Tagebuch-, Chat-, Bild- oder Gesundheitsinhalte und wird nach verifiziertem Abschluss entfernt
• Schutz nach der Löschung: Nach verifizierter Bereinigung bleibt 400 Tage lang ein gesonderter pseudonymer Konto-Token-Marker bestehen, dessen Wert eine Schemaversion und den Abschlusszeitpunkt enthält, damit verspätete StoreKit- oder Backend-Ereignisse das gelöschte Konto nicht neu anlegen können. Er enthält keine rohe Konto-ID, E-Mail-Adresse, Ereignisinhalte oder Gesundheitsdaten
• StoreKit-Betriebsdaten: Abonnementstatus und Transaktions-/Installationszuordnungen können ab dem jeweils letzten relevanten Schreibvorgang bis zu 400 Tage bestehen bleiben, um Jahresabonnements, Verlängerungen, Kulanzzeiträume, Erstattungen und Zugangsabgleiche abzudecken. Premium-Zugriffscaches enthalten nur die konstanten Statuswerte 1 / 0: Der frühere Cache bloom:premium:{appAccountToken} und der genaue Installations-/Konto-Cache laufen jeweils 35 Tage nach dem letzten Schreibvorgang ab. Bei verifizierter Kontolöschung werden der genaue frühere App-Konto-Token-Cache und die genauen kontobezogenen Caches entfernt; der Cache eines anderen Kontos auf derselben Installation bleibt bestehen. Tägliche Gesamtwerte zum Abonnement-Lebenszyklus und SHA-256-abgeleitete pseudonyme Mitgliedschaften der ursprünglichen Transaktionskennung werden ebenfalls 400 Tage aufbewahrt. Während eine StoreKit-Benachrichtigung verarbeitet wird, steht ihre rohe Apple-Benachrichtigungs-UUID im Schlüssel mit einem zufälligen Verarbeitungsinhaber-Anspruch für bis zu 5 Minuten; bei erfolgreicher Verarbeitung wird dieser Anspruch atomar durch einen konstanten Deduplizierungsmarker für 24 Stunden ersetzt. Fehlgeschlagene Verarbeitung gibt nur den eigenen Anspruch frei, damit Apples Wiederholung möglich bleibt. Zur Serialisierung unterschiedlich gekennzeichneter Benachrichtigungen und des Abgleichs über Apples aktuelle Status-API für dasselbe Abonnement enthält ein SHA-256-abgeleiteter Schlüssel der ursprünglichen Transaktion ausschließlich ein zufälliges Verarbeitungsinhaber-Token für bis zu 5 Minuten und wird unmittelbar nach erfolgreichem Abschluss oder einem behandelten Fehler gelöscht. Beide Pfade speichern eine vergleichbare signierte Zeitgrenze. Nur streng ältere signierte Ereignisse werden ignoriert; ein gleiches signiertes Datum wird erneut verarbeitet, damit ein früherer Teilschreibvorgang repariert werden kann. Bei der Kontolöschung werden direkt kontoverknüpfte Abonnement- und Zuordnungsdatensätze entfernt; Gesamtwerte und gehashte Mitgliedschaften verbleiben nur bis zu ihrem regulären Ablauf. Wer bereits über eine ursprüngliche Transaktionskennung verfügt, könnte denselben Mitgliedschafts-Hash berechnen; die Liste selbst enthält jedoch keine rohe Konto-ID, kein Konto-Token, keine E-Mail-Adresse und keine Transaktionskennung
• Authentifizierung und E-Mail-bezogene Drosselung: Das Passwort-Zurücksetzungs-OTP läuft nach 60 Minuten ab; Drosselzähler für Passwort-Zurücksetzungs- und Neukonto-Bestätigungsanfragen nach 60 Minuten; das OTP zur Bestätigung eines neuen Kontos nach 15 Minuten; das einmal verwendbare Zurücksetzungs-Token nach 10 Minuten; und der Fehlversuchszähler zum Passwort-Zurücksetzungs-OTP spätestens mit der verbleibenden OTP-Laufzeit, wobei 15 Minuten nur als Ersatzfrist gelten, wenn ein berührtes früheres OTP ohne Ablauffrist besteht. Zählererhöhung und Ablaufsetzung erfolgen atomar. Die Rückerstattung eines Kontingentplatzes nach fehlgeschlagener Zustellung prüft atomar, ob der Anfragezähler noch besteht und eine positive Ablauffrist hat, bevor er begrenzt verringert wird; ein abgelaufener, gleichzeitig gelöschter, ungültiger, bei null/eins liegender oder fristloser Schlüssel wird niemals neu angelegt und, falls vorhanden, entfernt. Ein fehlendes OTP erzeugt keinen Fehlversuchszähler, die tägliche Bereinigung löscht jeden früheren Anfrage- oder Fehlversuchszähler, der ohne Ablauffrist gefunden wird, und die Kontolöschung entfernt die genauen E-Mail-bezogenen Datensätze sowie passende Zurücksetzungs-Token
• Rate-Limiting- und Wiederholungsschutz-Kennungen (Upstash): Konto- oder installationsbezogene tägliche Chat-/Inhaltsnutzungszähler laufen zur nächsten Mitternacht ab, die aus dem von der App übermittelten ganzzahligen UTC-Versatz (begrenzt auf ±14 Stunden) berechnet wird; ohne Versatz gilt UTC-Mitternacht, sodass die Ablauffrist 1 Sekunde bis 24 Stunden beträgt. Damit ein geänderter Versatz für denselben Tag keine zweite Zählung eröffnen kann, speichern unsere Server den ersten Versatz, den sie für ein Konto oder eine Installation sehen, in einem eigenen Datensatz mit dieser Konto- oder Installationskennung, der 48 Stunden nach dem Speichern abläuft und gelöscht wird, wenn du dein Konto löschst; bis dahin richten sich die Tageszähler nach diesem Versatz. Eine eigene tägliche Zählung der Nachrichten, die beantwortet wurden, ohne auf dein tägliches Nachrichtenlimit angerechnet zu werden (Abschnitt 6), wird ebenso geführt, mit denselben Kennungen und derselben Ablauffrist; sie enthält nur eine Zahl, und sie wird gelöscht, wenn du dein Konto löschst. Zählererhöhung und Ablaufsetzung des Tageszählers erfolgen atomar und reparieren einen berührten früheren Zähler ohne Ablauffrist. Rohe Quell-IP-Anfragezähler laufen 660 Sekunden nach der ersten Anfrage in einem festen 10-Minuten-Fenster ab. Zur Rotationserkennung verwendete behauptete Installationskennungen (auf 100 Zeichen begrenzt) teilen dieses feste Fenster; die Ablauffrist ihrer Menge wird jedoch bei jedem neu hinzugefügten Hinweis auf 660 Sekunden gesetzt, sodass sie bis zu 11 Minuten nach dem letzten neu beobachteten Hinweis bestehen kann. Rohe Quell-IP-Burst-Zähler laufen 70 Sekunden nach der ersten Anfrage in einem festen 60-Sekunden-Fenster ab. Anfrage-, Burst- und Rotationsschreibvorgänge sowie ihre Ablaufsetzungen erfolgen atomar; eine berührte frühere fehlende oder zu lange Ablauffrist wird auf die genannte Höchstfrist gesetzt. Nach Erfolg speichert unser Proxy bei Anfragen über den Endpunkt „chat“ für 5 Minuten einen konstanten Marker, der nur eine wiederholte Erhöhung des täglichen Nutzungszählers überspringt; bei KI-Anfragen über den Endpunkt „call“ speichert er die vollständige, erfolgreich erzeugte Antwort (JSON) 5 Minuten lang und gibt sie bei einer Wiederholung zurück. Für Apples App-Attest-Prüfung läuft eine einmalige Prüfanfrage für deine Installation nach 5 Minuten ab, und der Datensatz zum App-Attest-Schlüssel deines iPhones, der seinen öffentlichen Schlüssel, deine Installationskennung und einen Zähler enthält, läuft 90 Tage nach seiner letzten Verwendung ab. Ein Datensatz, der deine Installationskennung mit einem Einwegcode deines Kontos verknüpft, damit die Löschung deines Kontos jedes iPhone erreicht, das du genutzt hast, läuft 90 Tage nach seiner letzten Verwendung ab und wird mit deinem Konto gelöscht. Für eine Aufgabe, die Mama Bloom KI später über die Batch-API von Anthropic ausführt, speichern unsere Server einen Datensatz mit denselben beiden Kennungen, bis zu 31 Tage lang oder bis du dein Konto löschst
• Metadaten des Krisenklassifikators: nur, dass eine Prüfung lief, gezählt in Analysen (30/90-Tage-Fenster); Schweregrad, Kategorie und Nachrichtentext werden nicht gespeichert
• E-Mail-Zustellungsprotokolle (über Resend): gemäß deren Bedingungen aufbewahrt, in der Regel 30 Tage
• Support-Tickets: Inhalte werden in unserem Support-Postfach bis zu 12 Monate nach Abschluss aufbewahrt, danach gelöscht oder anonymisiert
• Support-Tickets — lokaler Geräte-Cache (ab Build 55): Eine rollende Liste deiner letzten 20 Ticket-Referenzen (ID, Betreffzeile, Kategorie, Zeitpunkt) wird auf diesem Gerät gespeichert, damit du deine Referenznummer nach dem Schließen der Support-Ansicht wiederfindest. Der eigentliche Nachrichtentext wird NICHT zwischengespeichert. In deinem DSGVO-Datenexport enthalten und beim Löschen deines Kontos entfernt.
• Eine Nachricht, die darauf wartet, gesendet zu werden (neu in v1.4.10): Sendest du Mama Bloom KI eine Nachricht, während dein iPhone offline ist, und kann auf diesem iPhone keine Antwort geschrieben werden, behält Mama Bloom in geschütztem Speicher auf diesem iPhone einen Verweis auf diese Nachricht, nie ihre Worte, die in deinem Gespräch bleiben, und sendet die Nachricht, sobald du wieder online bist, aber nur, wenn dein Gespräch noch mit ihr endet. Der Verweis wird gelöscht, wenn die Nachricht gesendet ist oder nicht mehr wartet, und mit deinem Konto.
• Über Siri erstellte Tagebucheinträge, die noch darauf warten, hinzugefügt zu werden: in einem verschlüsselten Zwischenspeicher auf diesem iPhone, bis du Mama Bloom das nächste Mal öffnest und dabei mit demselben Konto angemeldet bist; dann werden daraus normale Tagebucheinträge. Eine Abmeldung löscht sie nicht; gelöscht werden sie, wenn du dein Konto oder alle deine Daten löschst.
• Die Datei des Widgets „Etwas Kleines für heute“ (neu in v1.4.10): eine kleine Datei in einem Speicherbereich auf diesem iPhone, den nur Mama Bloom und ihre Widgets lesen können. Sie enthält, ob das Widget Text zeigen darf, ob es nur seine allgemeine Zeile zeigt, was es tut, solange „Gehalten“ eingeschaltet oder keine Phase gespeichert ist, ob seine Zeilen am Tag aus der Auswahl kommen, die Mama Bloom nach einem Verlust nutzt, Monat und Tag deines Geburtstermins, des Geburtsdatums deines Babys und des Datums eines Verlusts, damit an diesen Tagen keine Zeile erscheint, und die Sprache der App; nie einen Namen, eine Jahreszahl oder etwas, das du geschrieben hast. Die Worte des Widgets stammen aus einer festen Auswahl in der App. Nur Mama Bloom schreibt die Datei. iOS schützt sie, bis du dein iPhone nach einem Neustart zum ersten Mal entsperrst, damit das Widget sie auch bei gesperrtem iPhone lesen kann; sie ist von Sicherungen ausgenommen und wird gelöscht, wenn du dich abmeldest oder dein Konto löschst. Die anderen Widgets von Mama Bloom lesen eine eigene kleine Datei im selben Speicherbereich, die iOS schützt, solange dein iPhone gesperrt ist: Sie enthält das Wort für deine letzte Stimmung, wann du zuletzt eingecheckt hast und in einer Schwangerschaft deine Schwangerschaftswoche mit den Datumsangaben und der Zeitzone, die das Widget braucht, um sie bis zu deinem Geburtstermin weiterzuzählen; sie ist von Sicherungen ausgenommen und wird zu denselben Zeitpunkten gelöscht.
• Datensätze für die Aktionen von Mama Bloom KI im Chat (neu in v1.4.10; Abschnitt 6): Jeder enthält deine Installationskennung und deine Kontokennung, die Kennung eines Schritts und einen Zähler bis höchstens drei; er wird gelöscht, sobald er verwendet ist, und läuft sonst nach 5 Minuten ab.
• Die Wochenmarkierung für den Sonntagsbrief (neu in v1.4.10; Abschnitt 6): eine Markierung pro iPhone und Woche; ihr Name enthält deine Installationskennung und das Datum des Sonntags dieser Woche, und sie enthält nur die Zahl 1. Sie wird nur angelegt, wenn ein Brief fertig geschrieben wurde, und läuft nach 9 Tagen von selbst ab oder wird gelöscht, wenn du dein Konto löschst.

8. Internationale Datenübermittlungen#

Wenn du Mama Bloom KI nutzt, werden die in den Abschnitten 6 und 6a beschriebenen Daten der KI-Anfragen an Anthropic in den USA übermittelt, darunter Gesprächsdaten, Fotos der Inhaltsstoff-/Lebensmittel-Prüfung, die Werte der in Abschnitt 6 beschriebenen Beobachtung unter „Wöchentliche Einblicke“, die Reflexionen und anderen Texte, die Mama Bloom KI für dich schreibt (Abschnitt 6), die in Abschnitt 6 beschriebenen Partner-Hub-Briefings und die begrenzten Anfrage-Daten aus Baby-Funktionen gemäß Abschnitt 6a. Bei Fütterungsfragen sind dies die von dir eingegebene Frage und nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI das ungefähre Babyalter sowie bis zu fünf begrenzte strukturierte Fütterungszusammenfassungen. Bei der KI-Schlaflesung in Kleine Tage mit Mama Bloom+ werden das ungefähre Babyalter sowie höchstens die letzten fünf Zusammenfassungen aus Schlafbeginn, Dauer und Aufwachzeit erst übertragen, nachdem du das Teilen gespeicherter Kontexte eingeschaltet hast und darum bittest; Babyname und Notizen sind ausgeschlossen. v1.8 lädt kein Nutzertagebuch-Korpus in Anthropic Files hoch. Unser Vertragspartner für Mama Bloom KI ist Anthropic Ireland, Limited (Dublin, Irland). Anthropic speichert deine KI-Anfragen in den USA; dort können die US-Unternehmen von Anthropic, etwa Anthropic, PBC (San Francisco), auf sie zugreifen und sie verarbeiten. Anthropic kann eine Anfrage außerdem in ausgewählten Ländern in Europa, Asien und Australien verarbeiten, und Anthropic und andere Unternehmen von Anthropic können sie in den Ländern verarbeiten, in denen sie tätig sind, etwa für Sicherheitsprüfungen, Support oder die Bearbeitung von Vorfällen; Anthropic nennt diese Unternehmen und seine Dienstleister mit den Orten, an denen sie Daten verarbeiten, in seinem Trust Center (trust.anthropic.com). Der Datenverarbeitungsvertrag von Anthropic (Data Processing Addendum, anthropic.com/legal/data-processing-addendum) macht Anthropic zu unserem Auftragsverarbeiter. Für Nutzer in der EU, in Island, in Norwegen und im Vereinigten Königreich enthält er die Standardvertragsklauseln der EU von 2021 (Art. 46 Abs. 2 lit. c DSGVO) und, für das Vereinigte Königreich, das UK International Data Transfer Addendum, soweit das Gesetz sie für unsere Übermittlung an Anthropic verlangt. Er verpflichtet Anthropic außerdem, mit jedem Unternehmen, das es für deine Daten einsetzt, einen Schutz zu vereinbaren, der im Wesentlichen so stark ist wie sein eigener, und Anthropic haftet uns gegenüber für diese Unternehmen wie für sich selbst. Die veröffentlichten Bedingungen von Anthropic sagen nicht, welche Garantie nach der DSGVO, etwa Standardvertragsklauseln, für deine Anfragen gilt, wenn Anthropic sie in den USA oder den anderen genannten Ländern verarbeitet. Anthropic Files wird ausschließlich für das gebündelte Mama-Bloom-Wellness-Korpus ohne Nutzerdaten eingesetzt und gehört zum selben Anthropic-Rechtsträger unter demselben Datenverarbeitungsvertrag.

Zusätzlich können begrenzte Betriebsdaten aus dieser Datenschutzerklärung — etwa zustimmungsbasierte Analyseereignisse, gerätebezogene Rate-Limit- / Sicherheitskennungen (Upstash), Passwort-Reset-E-Mail-Zustellung (Resend) und Proxy-Hosting (Vercel) — über unsere verwalteten Infrastrukturanbieter verarbeitet werden. Unser API-Proxy wird auf der Infrastruktur von Vercel Inc. in den USA gehostet; Rate-Limiting und Analyse-Key-Value-Speicher werden von Upstash Inc. (USA) bereitgestellt. Für die EU, Island, Norwegen und das Vereinigte Königreich stützen sich die Übermittlungen an Vercel, Upstash und Resend auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag des jeweiligen Anbieters (für das Vereinigte Königreich mit dem UK International Data Transfer Addendum); Apple verarbeitet Daten nach seinen eigenen Bedingungen zur Auftragsverarbeitung. Du kannst das Senden gespeicherter Baby-Kontexte jederzeit unter Profil → Datenschutz & Daten → Kontext mit Mama Bloom teilen ausschalten; bei Fütterungsfragen kann weiterhin nur die von dir eingegebene Frage gesendet werden.

9. Deine Rechte (UK GDPR, DPA 2018, DUAA 2025 & DSGVO)#

Du hast folgende Rechte. Wo möglich, nennen wir dir direkt den Weg in der App.

• Auskunft (Art. 15 DSGVO) — Kopie deiner personenbezogenen Daten anfordern. Profil → Datenschutz & Daten → Alle meine Daten exportieren liefert eine maschinenlesbare JSON-Datei der Datensätze, die Mama Bloom auf diesem iPhone aufbewahrt, einschließlich deiner Datenschutz-Entscheidungen; was wir auf unseren Servern über dich speichern, kannst du per E-Mail an privacy@mamabloom.app anfordern. Zum PHQ-9 enthält die Datei, was Mama Bloom in deinen Datensätzen aufbewahrt (Abschnitt 3), nie deine Antworten auf die einzelnen Fragen; Wiederherstellungskopien gehören nicht zur Datei.
• Berichtigung (Art. 16) — Unrichtigkeiten unter Profil → Profil bearbeiten korrigieren oder per E-Mail, für Datensätze, die du nicht selbst bearbeiten kannst.
• Löschung / Recht auf Vergessenwerden (Art. 17) — Profil → Mein Konto löschen und Profil → Datenschutz & Daten → Alle meine Daten löschen führen dieselbe Löschung aus: Lokale Datensätze werden entfernt, die Bereinigung gerätebezogener Betriebs-, Analyse- und Empfehlungsdatensätze, die wir direkt kontrollieren, wird angefordert, und danach bist du abgemeldet. Die Datensätze für Apples App-Attest-Prüfung, die spätestens 90 Tage nach ihrer letzten Verwendung ablaufen, und einige Datensätze, die innerhalb einer Stunde von selbst ablaufen, etwa die Datensätze für die Aktionen von Mama Bloom KI im Chat, gehören nicht zu dieser Bereinigung (Abschnitt 7). Mama Bloom löscht außerdem einen früheren verschlüsselten iCloud-Wellness-Schnappschuss nach geprüfter lokaler Wiederherstellung und wenn du dein Konto löschst; der datensatzfreie Marker zur Kontowiederherstellung ist in Abschnitt 7 beschrieben. Anthropic-API-Eingaben und Hosting-Provider-Logs dürfen nur innerhalb der offengelegten Aufbewahrungsfenster oder gesetzlicher Pflichten fortbestehen.
• Einschränkung (Art. 18) — Verarbeitung während eines Streitfalls pausieren. E-Mail an privacy@mamabloom.app; das Teilen gespeicherter Kontexte kann zudem unter Profil → Datenschutz & Daten sofort ausgeschaltet werden.
• Datenübertragbarkeit (Art. 20) — der JSON-Datenexport unter Profil → Datenschutz & Daten → Alle meine Daten exportieren ist maschinenlesbar und übertragbar, und du kannst ihn auf einem anderen iPhone wieder in Mama Bloom einlesen.
• Widerspruch (Art. 21) — gegen Verarbeitung auf Grundlage berechtigter Interessen.
• Widerruf der Einwilligung — jederzeit ohne Einfluss auf die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.
• Automatisierte Entscheidungsfindung (Art. 22) — Mama Bloom trifft KEINE ausschließlich automatisierten Entscheidungen mit rechtlichen oder ähnlich bedeutenden Wirkungen dir gegenüber. KI-Ausgaben sind Wellness-Anregungen; du entscheidest, wie du damit umgehst.
• Beschwerderecht — bei einer Aufsichtsbehörde.

Zuständige Aufsichtsbehörden:
UK: Information Commissioner's Office (ico.org.uk)
EU/Deutschland (Bund): Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (bfdi.bund.de)
Sachsen (unser Sitz): Sächsischer Datenschutz- und Transparenzbeauftragter (sdtb.sachsen.de)
Österreich: Datenschutzbehörde (dsb.gv.at)
Schweiz: EDÖB (edoeb.admin.ch)

Deine Rechte im übrigen Europa (außerhalb der EU, des EWR und des Vereinigten Königreichs)

Mama Bloom ist in Bosnien und Herzegowina, im Kosovo, in der Republik Moldau, in Montenegro, in Nordmazedonien, in Serbien und in der Ukraine verfügbar. Jedes dieser Länder hat ein eigenes Datenschutzrecht, und diese Gesetze geben dir Rechte, die wir achten. Wir geben dir dieselben Rechte wie allen in der Europäischen Union: zu erfahren, welche Daten wir über dich haben, sie berichtigen zu lassen, sie löschen zu lassen, eine Kopie mitzunehmen, die Nutzung einschränken zu lassen oder ihr zu widersprechen und eine erteilte Einwilligung zu widerrufen. Dafür kannst du die oben beschriebenen Wege in der App nutzen oder an privacy@mamabloom.app schreiben. Du kannst dich auch an die Datenschutzbehörde deines Landes wenden.

In der App verfügbare Steuerungen:
Im Profil findest du die meisten hier genannten Zeilen unter „Datenschutz, Recht & Hilfe“, die Benachrichtigungen unter „Tools & Erinnerungen“; tippe auf eine Überschrift, um sie aufzuklappen.

• Teilen gespeicherter Kontexte für personalisierte KI ausschalten (Profil → Datenschutz & Daten → Kontext mit Mama Bloom teilen) — Chat bleibt nutzbar und sendet die letzten Nachrichten deines Gesprächs; kein Vorname, keine Phase, keine Personenliste, kein PHQ-Band, kein Tagebuchauszug und kein anderer gespeicherter App-Kontext wird gesendet; für Benachrichtigungen, Briefe und Reflexionen wird nichts aus deinem gespeicherten Kontext gesendet, und die Notiz zu Körper & Geist, die Reflexion im Wochenbrief, die wöchentlichen Musternotizen, die Briefe nach deinen ersten 7, 30 und 100 Tagen, der tägliche Text der Bibliothek, die Notizen und Fragen zu Artikeln und die heutige Notiz im Morgen-Check-in, die die Cloud-KI geschrieben hat, werden von diesem iPhone entfernt
• Analysen widerrufen (Profil → Pseudonyme Nutzungsanalyse)
• Proaktive Mama-Bloom-Nachrichten ausschalten (Profil → Tools & Erinnerungen → Benachrichtigungen → Proaktive Nachrichten erlauben); die anderen Erinnerungen haben auf derselben Seite eigene Schalter
• Spracheingabe deaktivieren (iOS-Einstellungen → Datenschutz & Sicherheit → Spracherkennung)
• Face-ID- / Biometriesperre für dein Tagebuch (Profil → Face ID Sperre)
• Mama Bloom KI ausschalten, auch Apples Modell auf dem Gerät (Profil → Dateneinwilligung widerrufen). Damit werden auch das Teilen gespeicherter Kontexte für personalisierte KI und die Analysen ausgeschaltet. „Dateneinwilligung wieder aktivieren“ an derselben Stelle schaltet nur Mama Bloom KI wieder ein (wenn du 18 oder älter bist; Mama Bloom fragt dich gegebenenfalls zuerst, Abschnitt 2); das Teilen gespeicherter Kontexte und die Analysen bleiben aus, bis du sie jeweils selbst einschaltest, was du direkt dort tun kannst. Wenn du Mama Bloom KI vor v1.9.9 mit „Dateneinwilligung wieder aktivieren“ wieder eingeschaltet hast, wurden damit auch das Teilen gespeicherter Kontexte und die Analysen wieder eingeschaltet; prüfen kannst du beides unter Profil → Datenschutz & Daten → Kontext mit Mama Bloom teilen und unter Profil → Pseudonyme Nutzungsanalyse
• Festlegen, welche Apple-Health-Typen Mama Bloom lesen oder speichern darf (in der Health-App für Mama Bloom)
• Lesen aus und Speichern in Apple Health durch Mama Bloom beenden (Profil → Datenschutz & Daten → HealthKit-Synchronisierung)
• Siri für Mama Bloom ausschalten (iOS-Einstellungen → Apps → Mama Bloom → Siri)

Zur Ausübung deiner Rechte wende dich an: privacy@mamabloom.app (oder telefonisch +49 152 5826 2078)
Wir antworten innerhalb eines Monats (DSGVO-konform).

10. Cookies und Tracking#

Mama Bloom ist eine native iOS-App. Keine Web-Cookies. Kein App-übergreifendes Tracking. Keine Werbe-IDs. Sicherheit und Rate-Limiting verwenden eine pseudonyme Installationskennung. Einwilligungsbasierte Analysen verwenden eine getrennte, nicht umkehrbare kontobezogene pseudonyme Kennung, damit zwei Konten auf demselben Gerät kein Analyseprofil teilen; abgemeldete Nutzung und Onboarding haben einen getrennten Gastbereich. Direkt von uns kontrollierte Analyse-Rohdatensätze und Kennungsmitgliedschaften werden bei der Kontolöschung einbezogen; anonyme Gesamtwerte, die keine Person mehr identifizieren, bleiben nur für die in Abschnitt 7 genannte Aufbewahrungsfrist bestehen. Wenn du die Analyse-Kennung zurücksetzt, werden noch nicht gesendete Analysedaten gelöscht und das frühere gerätegebundene Geheimnis höchstens 90 Tage geschützt im Schlüsselbund aufbewahrt, ausschließlich um genaue Löschkennungen für Konto-, Gast- und frühere Analysedaten abzuleiten; das rohe Geheimnis wird nie gesendet. Keine der Kennungen wird für Werbung oder Tracking durch Dritte verwendet. Die von Apple geforderten Datenschutzangaben werden über PrivacyInfo.xcprivacy und App Store Connect bereitgestellt und sollten bei Funktionsänderungen laufend aktualisiert werden.

10a. A/B-Tests#

Wir zeigen gegebenenfalls unterschiedliche visuelle Darstellungen unserer Abo-Bildschirme, um das Erlebnis zu verbessern. Beide Darstellungen bieten identische Preise und Funktionen. Diese Zuweisung nutzt den oben beschriebenen pseudonymen Einweg-Geräte-Fingerprint und wird niemals für Werbung oder Tracking durch Dritte verwendet.

10b. Empfehlungsprogramm#

Unser Empfehlungsprogramm ermöglicht es dir, einen einzigartigen Code mit Freundinnen zu teilen. Empfehlungscodes werden aus einem pseudonymen Geräte-Hash erzeugt und enthalten weder Namen noch E-Mail-Adresse, Gesundheitsdaten oder persönliche Antworten. Empfehlungsdaten (Code, Einlösungsstatus, Belohnungsguthaben) werden bis zu 90 Tage auf unseren Servern gespeichert und bei Kontolöschung gelöscht.

11. Benachrichtigung bei Datenschutzverletzungen#

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko für deine Rechte und Freiheiten darstellt, werden wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden benachrichtigen (DSGVO Art. 33) und betroffene Nutzer unverzüglich informieren, wenn die Verletzung voraussichtlich ein hohes Risiko darstellt (DSGVO Art. 34). Kontakt: privacy@mamabloom.app

12. KI-Einschränkungen und Genauigkeit#

Mama Bloom KI-Antworten werden durch künstliche Intelligenz generiert und können Fehler, Ungenauigkeiten oder veraltete Informationen enthalten. KI-generierte Inhalte sollten nicht als alleinige Grundlage für Gesundheits-, Wohlbefindens- oder persönliche Entscheidungen herangezogen werden. Überprüfe wichtige Informationen stets mit einer qualifizierten medizinischen Fachkraft. Eine Kopie unseres abgeschlossenen Datenverarbeitungsvertrags mit Anthropic ist auf Anfrage unter privacy@mamabloom.app erhältlich. Auch die Gedächtnisnotizen aus deinen Gesprächen sind KI-generiert: Sie können falsch sein; deshalb zeigt der Bildschirm „Was Mama Bloom weiß“ die Worte, aus denen sie entstanden sind, und lässt dich jede Notiz vergessen.

13. Dienstleister#

Die folgenden Dienstleister sind an der Verarbeitung deiner Daten beteiligt:

• Anthropic Ireland, Limited (Claude AI) — Dublin, Irland — KI-Gesprächsverarbeitung, Bilderkennung, Batch-Jobs; Anthropic speichert diese Daten in den USA, wo die US-Unternehmen von Anthropic, etwa Anthropic, PBC (San Francisco), auf sie zugreifen und sie verarbeiten können, und Anthropic kann eine Anfrage auch in anderen Ländern verarbeiten (Abschnitt 8)
• Anthropic Files (Anthropic Ireland, Limited) — Dublin, Irland; gespeichert in den USA — Speicherung ausschließlich des gebündelten Mama-Bloom-Wellness-Korpus (keine Nutzerdaten; v1.8 lädt keine Nutzertagebücher hoch)
• Apple Inc. — Cupertino, USA — einmalige Wiederherstellung und Löschung eines früheren verschlüsselten iCloud-Schnappschusses, datensatzfreier iCloud-Key-Value-Kontomarker, HealthKit, Push-Benachrichtigungen, Mit Apple anmelden und StoreKit. Die Sprachtranskription in den eigenen Sprachfunktionen von Mama Bloom ist auf die Erkennung auf dem Gerät beschränkt und sendet kein Audio an Apple-Server.
• Resend Inc. — USA — E-Mail-Zustellung für Passwortzurücksetzung und Support-Tickets
• Upstash Inc. — USA — Rate-Limiting und Analyse-Key-Value-Speicher
• Vercel Inc. — USA — API-Proxy-Hosting

Anthropic Files wird von Anthropic Ireland, Limited bereitgestellt und unterliegt demselben Datenverarbeitungsvertrag wie die Claude-API-Nutzung; wir führen Anthropic Files separat auf, weil es sich um eine eigenständige Datenspeicherfläche mit eigenem Aufbewahrungsverhalten handelt.

Siri und die Kurzbefehle-App gehören nicht dazu: Apple stellt sie dir nach eigenen Bedingungen bereit (Abschnitt 6).

Wir aktualisieren diese Liste, wenn sich diese Dienstleister ändern, und informieren Nutzer über wesentliche Änderungen in der App.

14. Änderungen & Änderungsprotokoll#

Wesentliche Änderungen werden in der App bekannt gegeben. Die aktuelle Version ist stets unter Profil → Rechtliches einsehbar.

Version 1.4.11 — 17. Oktober 2026
Sechs kleine Angaben liegen nicht mehr in den gewöhnlichen App-Daten, die eine Sicherung auf ein anderes iPhone mitnehmen kann: Dein Geburtsjahr, die Briefe, die Mama Bloom KI nach deinen ersten 7, 30 und 100 Tagen geschrieben hat, und die Markierung zu einer Nachricht zur Unterstützung nach einem PHQ-9-Check liegen im geschützten Speicher, den keine Sicherung mitnimmt (dein Geburtsjahr bleibt außerdem wie bisher im Nachweis deiner Einwilligung im Schlüsselbund); die Angaben, ob „Gehalten“ eingeschaltet ist und wann Mama Bloom es zuletzt vorgeschlagen hat und ob Mama Bloom zu deiner Phase etwas zeigt und schickt, sowie die Markierungen zu Jahrestagen eines Verlusts liegen im Schlüsselbund dieses iPhones, den nur dieses iPhone lesen kann, den eine Sicherung nur auf dieses iPhone zurückbringen kann und den iOS Mama Bloom auch bei gesperrtem iPhone lesen lässt. Die drei Angaben im Schlüsselbund bleiben bei deinem Konto, wenn du dich abmeldest, und jetzt auch auf diesem iPhone, wenn du die App löschst, wie bisher schon deine Phase, der Nachweis deiner Einwilligung und deine Anmeldedaten, bis du „Mein Konto löschen“ oder „Alle meine Daten löschen“ wählst oder alle Inhalte und Einstellungen dieses iPhones löschst. Abschnitt 7 aktualisiert. Kein neuer Verarbeitungszweck, keine neue Partei, keine neue Datenkategorie — keine erneute Bestätigung erforderlich.

Version 1.4.10 — 13. Oktober 2026
Wesentliche Aktualisierung. Die Bibliothek und der Morgen-Check-in für Mitglieder von Mama Bloom+: Bei eingeschaltetem Teilen gespeicherter Kontexte können die Anfragen für die Artikel unter „Für dich“, den täglichen Text, die Notiz und die Reflexionsfrage zu einem Artikel, die Notiz zu einem Bereich und die Notiz im Morgen-Check-in, auch die Notiz, die vorbereitet wird, wenn du Mama Bloom morgens öffnest, deinen gespeicherten Kontext enthalten; Abschnitt 6 nennt, was jede Anfrage enthält. Frühere Praxis korrigiert: Vor v1.9.9 enthielten diese Anfragen bei eingeschaltetem Teilen gespeicherten Kontext, und diese Datenschutzerklärung hat sie nicht beschrieben, ebenso wenig die Notiz, die entsteht, wenn du sie im Morgen-Check-in öffnest; vor v1.9.9 konnte Mama Bloom KI im Begleiter-Chat außerdem mehr Tagebuch-, Stimmungs- und Schlafeinträge nachsehen, als Abschnitt 6 nannte; und vor v1.9.10 ließ die Löschung deiner Daten auf diesem iPhone deine Wochencheckliste, eine Markierung zu einer Nachricht zur Unterstützung und die Stelle zurück, an der du in einer Geschichte oder Meditation aufgehört hattest. Den Sonntagsbrief schreibt Mama Bloom KI erst, wenn du ihn öffnest, mit Mama Bloom+ ganz und ohne Mama Bloom+ als erste Seite, einen Brief pro Woche; unsere Server speichern für jedes iPhone bis zu 9 Tage lang eine Wochenmarkierung (Abschnitte 6 und 7). Was Mama Bloom sich merkt: eine Person oder alles vergessen lassen, Notizen, die nach einer Änderung deiner Phase beiseitegelegt werden, und Notizen, die bei ausgeschaltetem Teilen gespeicherter Kontexte ungenutzt auf diesem iPhone bleiben; eine Kopie deiner Datensätze bringt eine Person, die Mama Bloom auf demselben iPhone vergessen sollte, nicht mehr zurück (Abschnitte 6 und 7). Aktionen im Chat für Mitglieder von Mama Bloom+ bei eingeschaltetem Teilen gespeicherter Kontexte: eine Atemübung, eine Meditation oder ein Artikel als Karte vorgeschlagen, ein Stimmungs-Check-in eingetragen, wenn du deine Stimmung nennst, eine Affirmation gespeichert; unser Server speichert für jeden Schritt bis zu 5 Minuten lang einen Datensatz, der nur einmal verwendet werden kann (Abschnitte 6 und 7). Eine Nachricht mit Worten, die darauf hindeuten, dass du Unterstützung brauchen könntest, wird auch beantwortet, wenn deine Nachrichten für heute aufgebraucht sind, für bis zu 10 solcher Nachrichten am Tag, und in einer eigenen täglichen Zählung geführt (Abschnitte 6 und 7). Die Datei des Widgets „Etwas Kleines für heute“ und die Datei der anderen Widgets von Mama Bloom beschrieben (Abschnitt 7). Korrigiert: Unsere Server verknüpfen die Gerätekennung für das Rate-Limiting mit deinem Konto; die Datensätze, die sie für das Rate-Limiting enthalten, laufen innerhalb von 48 Stunden ab, nicht nach 24; die Datensätze für Apples App-Attest-Prüfung und für die Verknüpfung mit deinem Konto behalten sie bis zu 90 Tage nach ihrer letzten Verwendung und der Datensatz zur Kopie des gebündelten Wellness-Korpus für deine Installation, bis du dein Konto löschst; und der Zeitzonen-Versatz ist auf ±14 Stunden begrenzt, nicht auf ±24 (Abschnitte 6 und 7). Außerdem: die erste Zeile einer proaktiven Nachricht und die Briefe nach deinen ersten 7, 30 und 100 Tagen so beschrieben, wie sie jetzt funktionieren, auch dass ihr von der KI geschriebener Text entfernt wird, wenn du das Teilen gespeicherter Kontexte ausschaltest, ebenso wie das, was Mama Bloom KI in der Bibliothek und im Morgen-Check-in aus deinem gespeicherten Kontext für dich geschrieben hat (Abschnitte 6 und 9); die Claude-Modelle von Anthropic ohne Versionsnummer genannt, und Anlaufstellen werden gezeigt, wenn das Modell die Prüfung einer Nachricht ablehnt (Abschnitt 6 und der Gesundheitliche Haftungsausschluss); das Ein- und Ausschalten von „Gehalten“ unter den Analysesignalen genannt; der Absatz zur Batch-API nennt den Sonntagsbrief nicht mehr; eine Nachricht, die darauf wartet, gesendet zu werden, während du offline bist, dein Profilfoto, deine Favoriten und deine Wochencheckliste außerhalb von Sicherungen, und was eine Sicherung weiterhin mitnehmen kann (Abschnitt 7); Wiederherstellungskopien und ein älterer iCloud-Schnappschuss, die noch Antworten auf einzelne PHQ-9-Fragen aus der Zeit vor v1.9.9 enthalten können (Abschnitte 3 und 9); was die Löschung deines Kontos auf unseren Servern entfernt (Abschnitte 7, 9 und 10); Island und Norwegen in Abschnitt 8 neben der EU und dem Vereinigten Königreich genannt; Abschnitt 13 heißt jetzt „Dienstleister“; die Nutzungsbedingungen nennen jedes Land, in dem Mama Bloom angeboten wird, und die richtige Stelle, um dein Konto zu löschen; sie nennen die KI Mama Bloom KI und sagen, wie weit unsere Haftung reicht, dass du deine Einwilligung jederzeit widerrufen kannst und wann wir dich über eine Datenschutzverletzung informieren, wie Abschnitt 11 es beschreibt. Die Abschnitte 3, 6, 7, 8, 9, 10, 11, 13 und 14, der Gesundheitliche Haftungsausschluss und die Nutzungsbedingungen wurden aktualisiert. Erneute Bestätigung ist erforderlich.

Version 1.4.9 — 6. Oktober 2026
Wesentliche Aktualisierung. Apple Health: Jeder Typ, den Mama Bloom lesen oder speichern möchte, ist jetzt genannt (Abschnitt 3); Mama Bloom bittet nicht mehr darum, Menstruationsstärke, Ergebnisse von Ovulationstests, Gewicht oder Blutdruck zu lesen, und speichert das Wort für deine Stimmung nicht mehr in Apple Health; unter iOS 27 kann der Perimenopause-Guide mit einer Erlaubnis nur für den Guide deine Phase der Menopause anzeigen, eine von dir gewählte Phase der Menopause speichern und lesen, wann zuletzt Blutungen nach der Menopause erfasst wurden, ohne dass etwas davon in den Datensätzen von Mama Bloom gespeichert oder an eine KI gesendet wird. Siri und Kurzbefehle beschrieben (Abschnitt 6), einschließlich des neuen Tagebucheintrags über Siri, des Eintragens einer Stimmung und des Öffnens von Teilen der App. Eine selbst gespeicherte Kopie deiner Datensätze kannst du auf einem neuen iPhone in Mama Bloom einlesen; die Datei wird nur auf deinem iPhone gelesen, ist nicht verschlüsselt, bringt nie Einwilligungen mit, und eine Kopie aus einem anderen Konto bringt nur Datensätze mit (Abschnitt 7). Die Beobachtung „Körper & Geist“ unter „Wöchentliche Einblicke“ nutzt die Cloud-KI nur noch, wenn du darum bittest, und nur bei eingeschaltetem Teilen gespeicherter Kontexte für personalisierte KI; „Wöchentliche Einblicke“ zeigt dir, bevor du darum bittest, was gesendet würde, und einen Datenbeleg bei jeder Nutzung (Abschnitt 6). Die Reflexionen, nachdem du etwas gespeichert hast, die KI-geschriebenen Benachrichtigungen und proaktiven Nachrichten, die Briefe, die Aktualisierung des Gedächtnisses, die Partner-Hub-Briefings für Mama Bloom+ und Anfragen in Werkzeugen sind beschrieben, und die vollständige Liste dessen, was der Begleiter-Chat bei eingeschaltetem Teilen gespeicherter Kontexte senden kann, ist genannt (Abschnitt 6). Frühere Praktiken korrigiert (Abschnitt 6): Die Reflexionen, nachdem du einen Stimmungs-Check-in, einen Tagebucheintrag oder ein Gedankenprotokoll gespeichert hattest, wurden auch bei ausgeschaltetem Teilen gespeicherter Kontexte mit deinem gespeicherten Kontext an die Cloud-KI gesendet, und vor v1.9.7 galt das auch für proaktive Nachrichten, obwohl diese Datenschutzerklärung etwas anderes sagte; einige Werkzeuge haben deinen Vornamen, deine Phase und zugehörige Angaben ebenfalls bei ausgeschaltetem Teilen gespeicherter Kontexte gesendet und zwei davon dein Alter, obwohl diese Datenschutzerklärung sagte, dein Alter werde nie gesendet; außerdem hat sie nicht beschrieben, dass die Beobachtung unter „Wöchentliche Einblicke“ die Cloud-KI auch bei ausgeschaltetem Teilen gespeicherter Kontexte nutzen konnte, dass die App für Analysen die genaue Zahl der Tage seit der Installation gesendet hat, die unsere Server gespeichert haben, und dass manche Analyseereignisse Namen enthielten, die deine Phase oder etwas über deine Gesundheit zeigen können. Reflexionen, proaktive Nachrichten und die Beobachtung nutzen die Cloud-KI jetzt nur noch bei eingeschaltetem Teilen gespeicherter Kontexte, die Beobachtung nur auf deine Anfrage, Werkzeuge fügen solche Angaben nur noch bei eingeschaltetem Teilen hinzu, und keine Anfrage enthält dein Alter; unsere Server haben am 4. Oktober 2026 aufgehört, diese Zahl zu speichern, und am 5. Oktober 2026, solche Namen zu speichern. Der KI-Transparenzhinweis sagt jetzt, wo Apples Modell auf dem Gerät genutzt wird und dass es nicht genutzt wird, solange Mama Bloom KI ausgeschaltet ist. „Dateneinwilligung wieder aktivieren“ schaltet jetzt nur Mama Bloom KI wieder ein; das Teilen gespeicherter Kontexte und die Analysen bleiben aus, bis du sie jeweils selbst einschaltest (Abschnitt 9). Zwei Analysesignale genannt (Tagesstufe seit der Installation, wie die App geöffnet wurde). Die einmalige Wiederherstellung eines iCloud-Schnappschusses aus der Zeit vor v1.8 ist so beschrieben, wie sie abläuft: auf dem iPhone, das ihn gespeichert hat. Abschnitt 7 sagt ausdrücklich, dass deine Datensätze vom iCloud-Backup und von Sicherungen auf einem Computer ausgenommen sind; Mama Bloom bewahrt deine Antworten auf die einzelnen PHQ-9-Fragen nicht mehr auf (Abschnitte 3 und 9); Postanschrift der Gesellschaft in den Abschnitten 1 und 15 ergänzt; in der deutschen Fassung die Begriffe der App übernommen („Teilen gespeicherter Kontexte“, „Ruheherzfrequenz“, „Trainingseinheiten“). Die Länder, in denen Mama Bloom angeboten wird, sind vollständig genannt (Geltungsbereich), und Abschnitt 9 gibt dir dieselben Rechte in sieben europäischen Ländern außerhalb der EU, des EWR und des Vereinigten Königreichs. Aufbewahrung bei Anthropic korrigiert: Frühere Fassungen nannten 30 Tage als Obergrenze; Abschnitt 7 sagt jetzt, wann Anthropic Anfragen länger aufbewahrt (Abschnitte 3, 6, 6a und 7). Unser KI-Anbieter korrigiert: Frühere Fassungen nannten „Anthropic, Inc.“ (San Francisco) und nur die USA und sagten, dass die Übermittlung der KI-Anfragen für Nutzer in der EU und im Vereinigten Königreich auf den Standardvertragsklauseln beruht; unser Vertragspartner ist Anthropic Ireland, Limited (Dublin, Irland), Anthropic speichert Anfragen in den USA, wo die US-Unternehmen von Anthropic, etwa Anthropic, PBC, auf sie zugreifen und sie verarbeiten können, und Anthropic kann eine Anfrage auch in anderen Ländern verarbeiten; die veröffentlichten Bedingungen von Anthropic sagen nicht, welche Garantie für diese Verarbeitung gilt (Abschnitte 6, 6a, 8 und 13). Mama Bloom KI ist jetzt für Nutzer ab 18 Jahren bestimmt: Bevor du sie nutzt, fragt Mama Bloom dich, ob du 18 oder älter bist, es sei denn, dein angegebenes Geburtsjahr zeigt es, und bis du antwortest, schreibt Mama Bloom KI nichts für dich; bist du jünger als 18, bleibt sie ausgeschaltet, und alles andere, einschließlich der Krisenhilfe, funktioniert wie bisher (Abschnitte 2, 3, 6 und 9). Der Geltungsbereich, die Abschnitte 1, 2, 2a, 3, 4, 6, 6a, 7, 8, 9, 13, 15, die Quellenangaben & Lizenzen und der Gesundheitliche Haftungsausschluss wurden aktualisiert. Erneute Bestätigung ist erforderlich.

Version 1.4.8 — 6. September 2026
Wesentliche Aktualisierung zum Gesprächsgedächtnis: Am Ende eines Begleiter-Gesprächs (getippt oder gesprochen) und nur bei aktivierter Freigabe gespeicherter Kontexte für personalisierte KI können deine eigenen Nachrichten ein weiteres Mal an Anthropic gesendet werden, damit die KI aus deinen eigenen Worten eine kurze Gedächtnisnotiz schreibt — zu den Bedingungen und mit der Aufbewahrung des Gesprächs selbst (Abschnitt 6). Notizen liegen geschützt auf diesem Gerät, sind KI-geschrieben und können falsch sein, zeigen deine zitierten Worte und können vergessen werden; Vornamen aus dieser Anfrage werden nur vorgeschlagen und kommen erst mit „Merken“ auf die Personenliste; eine kleine Nachricht für einen genannten Tag ist eine einzelne lokale Mitteilung mit deiner Zustimmung; die erste Zeile eines neuen Gesprächs kann sich auf das beziehen, was du beim letzten Mal gesagt hast, formuliert auf deinem Gerät. Abschnitte 3, 7 und 12 entsprechend aktualisiert. Erneute Bestätigung ist erforderlich.

Version 1.4.7 — 30. August 2026
Redaktionelle Korrektur und eine zurückkehrende Funktion: Drei Passagen (Abschnitte 6, 9 und der KI-Transparenzhinweis) beschrieben den Begleiter-Chat noch als Nur-aktuelle-Nachricht und entsprechen jetzt dem Gesprächs-Update aus v1.4.5 (gesendet werden die letzten Nachrichten deines Gesprächs; gespeicherter App-Kontext bleibt an die personalisierte KI gebunden). Apple Journaling Suggestions wieder in Abschnitt 6 offengelegt (Tagebuch-Editor; Picker auf dem Gerät; nur Titel und ggf. Foto des angetippten Moments gelangen in deinen Eintrag). On-Device-Fallback des Daily Packs in Abschnitt 6 offengelegt (Apples Modell auf dem Gerät darf eine fehlgeschlagene Morgenausgabe auf deinem iPhone schreiben; nichts Zusätzliches verlässt das Gerät). Kein neuer Verarbeitungszweck, keine neue Partei, keine neue Datenkategorie — keine erneute Bestätigung erforderlich.

Version 1.4.6 — 26. August 2026
Transparenz zur Konto-Wiederherstellung: Für E-Mail-Konten speichern unsere Server jetzt einen Einwegcode (Hash) deiner Konto-E-Mail, damit ein verlorenes Gerät nicht mehr den Verlust des Kontos bedeutet; die Wiederherstellung erfolgt über einen sechsstelligen E-Mail-Code. In Chats verlässt nichts Neues dein Gerät, es sind keine neuen Drittanbieter beteiligt, und eine neue Einwilligung ist nicht erforderlich.

Version 1.4.5 — 25. August 2026
Gesprächs-Update: Der Begleiter-Chat sendet jetzt bei jeder Anfrage die letzten Nachrichten deines aktuellen Gesprächs, damit Antworten dem Gespräch folgen können — unabhängig von der Freigabe gespeicherter Kontexte. Gespeicherter App-Kontext (Vorname, Phase, Tagebuchauszüge, PHQ-Kategorie, Gedächtnisnotizen) wird weiterhin nur bei aktivierter personalisierter KI einbezogen. Erneute Bestätigung ist erforderlich.

Version 1.4.4 — 13. August 2026
Wesentliche Änderung bei Speicherung und Verarbeitung: Aktuelle Wellness- und Baby-Datensätze bleiben ausschließlich lokal; ein früherer verschlüsselter iCloud-Schnappschuss wird einmalig übernommen und erst nach geprüfter lokaler Speicherung gelöscht, wobei höchstens ein datensatzfreier Kontomarker verbleibt. Ausschließlich lokale Datensätze und gerätegebundene Zugangsdaten wandern nicht auf ein Ersatzgerät; Abschnitt 7 sagt das ausdrücklich und verweist auf den Datenexport. Spracherkennung ist zwingend lokal und hat keine Server-Ausweichlösung. Der minimale Begleiter-Modus sendet nur den aktuellen Nachrichtentext; freigegebener gespeicherter Kontext ist begrenzt. Genauer PHQ-Wert, Frage 9 und Antworten verlassen das Gerät nie; nur ein abgeleitetes Band darf in gespeicherten Kontext eingehen. Der inaktive Sammel-Upload von Nutzertagebüchern und seine Steuerungen sind nicht Teil von v1.8. Erneute Bestätigung ist erforderlich.

Version 1.4.3 — 13. August 2026
Wesentliche Transparenzaktualisierung zu Baby-KI: Der Baby-Kontext im Begleiter-Chat ist jetzt ausdrücklich benannt; dedizierte Fütterungsfragen und die KI-Schlaflesung in Kleine Tage haben genaue Datenbelege und erfordern vor dem Senden die Bestätigung dieses Updates. Die personalisierte KI-Kontextfreigabe bleibt optional.

Version 1.4.2 — 11. August 2026
Formulierungen zur Speicherdauer bei KI-Funktionen korrigiert (Standard-Aufbewahrungsfenster von Anthropic von bis zu 30 Tagen; Praxis unverändert); Herkunft der Nachtgarten-Klangflächen in die Quellenangaben aufgenommen (KI-generiert mit OpenAI-Werkzeugen).

Version 1.4.1 — 20. Juli 2026
Mindestalter von 18 auf 16 Jahre aktualisiert (digitales Einwilligungsalter nach Art. 8 DSGVO in Deutschland).

Version 1.4.0 — 23. Juni 2026
Geltungsbereich auf die USA, Australien und Neuseeland erweitert; Rechte und Aufsichtsbehörden je Rechtsordnung in Abschnitt 9 ergänzt. Wesentliche Änderung — mit erneuter Zustimmung in der App angezeigt.

Version 1.3.5 — 10. Juni 2026
Datenminimierung und Transparenz: Der KI-Kontext enthält dein Alter nicht mehr; Abschnitt 6 nennt jetzt ausdrücklich deinen Vornamen und dein Land (lokale Anpassung von Hinweisen) unter den beim Chat an Anthropic gesendeten Daten.

Version 1.3.4 — 4. Juni 2026
Klargestellt, dass die Anthropic-Files-Tagebuch-Upload-Funktion derzeit inaktiv ist (kein Tagebuch-Korpus hochgeladen); ElevenLabs als Offline-Sprachinhalte-Lieferant offengelegt (keine Nutzerdaten gesendet); Nutzungsbedingungen auf EU+UK gekürzt; ausdrückliche Art.-9-Einwilligung bei der Anmeldung, dauerhaftes KI-Kennzeichen im Chat und ein Hinweis zur Fruchtbarkeits-Schätzung ergänzt; eingestellten EU-ODR-Verweis aus dem Impressum entfernt. Offenlegung zu Apple Journaling Suggestions entfernt (Funktion in Build 57 zurückgezogen).

Version 1.2 — 18. April 2026
Folgende seit v1.1 hinzugekommene Datenflüsse wurden offengelegt:

• Anthropic-Files-Speicherung für das gebündelte Wellness-Korpus (keine Nutzerdaten)
• Opt-in-Upload deiner Tagebucheinträge der letzten 90 Tage in Anthropic Files für Sunday-Letter-Zitate, mit Ein-Klick-Löschung über /api/files-forget
• Foto-Etikett-Analyse (Foto wird nicht im Proxy gespeichert; Anthropic-Standard-API-Aufbewahrung bis zu 30 Tage; kein Modelltraining; nur Hash-Präfix und begrenzte Betriebsmetadaten im Proxy-Protokoll)
• Sprachmodus (Transkription auf dem Gerät; nur Text wird gesendet)
• Paralleler Haiku-Krisenklassifikator (nur Schweregradband + Kategorie; kein Nachrichtentext gespeichert)
• Proaktive Mama-Bloom-Impulse mit Haiku-generierten Eröffnungszeilen (nur kategorialer Kontext)
• On-Device-Personen-Gedächtnis via Apple NLTagger (kompakte Liste aus Name/Rolle/Anzahl wird nur bei aktivierter KI-Kontextfreigabe gesendet)
• Kosten- und Token-Telemetrie auf dem Gerät; nur kategoriale Analyseereignisse
• Strukturierte tool_choice-Ausgaben für ausgewählte Haiku-Klassifikatoraufrufe
• Anthropic Batch-API für Daily Pack, Sunday Letter und den wöchentlichen Gedächtnisdurchlauf
• Ephemeres 1-Stunden-Prompt-Caching auf stabilen Inhaltsblöcken (nur serverseitig)
• Upstash zur Liste der Unterauftragsverarbeiter hinzugefügt (Rate-Limiting und Analyse-KV)

Version 1.1 — 15. April 2026
In-App-Support-Ticket-Flow via Resend hinzugefügt; Aufbewahrungsfristen präzisiert; Einwilligung zu Analysen klargestellt.

v1.3 — 11. Mai 2026: Geografischer Geltungsbereich auf EU + UK beschränkt. Neuer Abschnitt 1a (UK-Vertreterin — Prighter Group, Business ID 19873577792). Ausdrückliche Verweise auf DPA 2018, DUAA 2025, BDSG und TTDSG. Frühere Abschnitte 10–13 (CCPA/CPRA, APPI, PIPA, weitere Rechtsordnungen) entfernt. Unternehmensstatus aktualisiert (Mama Bloom UG nun handelsregistereingetragen, HRB 47918 AG Dresden; „i.G." entfernt).

v1.3.1 — 17. Mai 2026: Upstash, Inc. (USA) wurde in Abschnitt 6 ausdrücklich als Sub-Auftragsverarbeiter benannt (Vercel KV läuft auf Upstash Redis). Art. 13 Abs. 1 lit. e / 14 Abs. 1 lit. e DSGVO (vollständige Empfängerliste) ist nun mit der Children's-Code-Selbstbewertung und der deutschen DPIA-Zusammenfassung in Einklang gebracht, die Upstash bereits benannten. SCCs + UK IDTA bereits in Kraft.

v1.3.2 — 21. Mai 2026: Dedizierte Datenschutz-Kontaktadresse privacy@mamabloom.app eingeführt (ersetzt support@mamabloom.app ausschließlich für datenschutzrechtliche Anfragen). Telefonnummer der Verantwortlichen +49 152 5826 2078 zusätzlich zur E-Mail-Adresse offengelegt gemäß Best Practice nach Art. 13 Abs. 1 lit. a DSGVO. Datenschutzerklärung, Verarbeitungsverzeichnis, TOM, DSFA und das Prighter UK-Vertreter-Dashboard auf dem neuen Kontaktkanal abgestimmt.

v1.3.3 — 28. Mai 2026: Offenlegung des lokalen Support-Ticket-Caches in Abschnitt 7 ergänzt (rollende Liste der letzten 20 Ticket-Referenzen; Nachrichtentext wird nie zwischengespeichert; im DSGVO-Export Art. 15 / 20 enthalten und bei Löschung nach Art. 17 entfernt). App-Attest-Staged-Rollout-Datum aktualisiert (DISABLE_ATTEST_UNTIL 2026-05-27 → 2026-08-01; die Raw-Body-Prüfung blieb deployment-gesteuert; TLS, SPKI-Pinning und die bisherige App-Secret-Anfragesignatur blieben aktiv, während die Body-Hash-Erzwingung nicht aktiv war).

15. Kontakt#

Mama Bloom UG (haftungsbeschränkt)
Oskarstraße 14, 01219 Dresden, Deutschland
E-Mail: support@mamabloom.app
Registriert in Deutschland — HRB 47918, Amtsgericht Dresden.

Über diese Website#

Diese Seite ist die maßgebliche Datenschutzerklärung und zugleich die URL, auf die Apple-App-Store-Prüfer verwiesen werden. Die Website selbst setzt keine Cookies, bindet keine Analyse- oder Werbeskripte ein und erhebt über Formulare keine personenbezogenen Daten. Alle Schriftarten werden selbst gehostet — keine Anfragen an Google Fonts oder Adobe Fonts.

Unser Hosting-Anbieter führt standardmäßige HTTP-Serverprotokolle (IP, User-Agent, Zeitstempel, Statuscode) zu Sicherheits- und Betriebszwecken gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Wir analysieren oder teilen diese Protokolle nicht.

Browser-Speicher. Die Website nutzt einen unbedingt erforderlichen HTML5-localStorage-Schlüssel: deine Sprachwahl (mamabloom-lang). Das ist der gesamte Client-seitige Speicher, den wir setzen. Er enthält keine personenbezogenen Daten, wird nie an unseren Server übertragen und gilt als unbedingt erforderlich nach § 25 Abs. 2 Nr. 2 TDDDG (früher TTDSG) sowie der entsprechenden Ausnahme der ePrivacy-Richtlinie. Es wird kein Cookie-Banner angezeigt, weil keine einwilligungs­pflichtige Speicherung erfolgt. Du kannst den Eintrag jederzeit über die Site-Einstellungen deines Browsers entfernen.