Deine Zahlen gehören dir.

Die Kurzfassung

• Wir messen, wie das Produkt genutzt wird, mit PostHog. Seine Server stehen in den USA, es setzt keine Cookies, und sowohl sein Code als auch die Ereignisse, die es aufzeichnet, laufen über unsere eigene Domain statt direkt zu posthog.com. Dein Browser öffnet also nie eine Verbindung dorthin. Die Daten erreichen PostHog trotzdem, unter us.i.posthog.com, und werden dort gespeichert; der Proxy ändert den Weg, nicht das Ziel. Es gibt kein Tracking-Pixel und keinen Werbecode. Zwei weitere Skripte von Dritten gibt es: den Checkout von Paddle, der auf der Abrechnungsseite und in der Abo-Ansicht von cdn.paddle.com geladen wird, und die App Bridge von Shopify, die von cdn.shopify.com geladen wird, nur in der Ansicht, die in den Shopify-Adminbereich eingebettet ist.
• Wir erfassen, was der Betrieb des Produkts erfordert: deine E-Mail-Adresse und die Daten des Arbeitsbereichs, die du eingibst.
• Jeder Arbeitsbereich ist von jedem anderen getrennt: im Anwendungscode und noch einmal in der Datenbank.
• Deine Daten lassen sich jederzeit als CSV exportieren, und du kannst uns bitten, sie zu löschen.

Was wir erfassen

• Dein Konto. Eine E-Mail-Adresse und ein Passwort bei der Registrierung, dazu ein Anzeigename, wenn du einen angibst. Passwörter verarbeitet Supabase Auth und speichert sie gehasht. Trackost speichert dein Passwort nie und kann es nicht lesen.
• Die Daten deines Arbeitsbereichs. Die Materialien, Rezepte, Produkte, Einkäufe, Produktionschargen, Bestellungen, Kosten und Berichte, die du eingibst oder importierst, und die Bestellungen, die wir aus einem von dir verbundenen Verkaufskanal synchronisieren. Das ist das Produkt. Ohne diese Daten gibt es nichts zu kalkulieren.
• Deine Teammitglieder. Wenn du jemanden einlädst, speichern wir die eingeladene E-Mail-Adresse und die Rolle, die du vergeben hast.
• Wie du das Produkt nutzt. Benannte Ereignisse: du hast dich registriert, die Einrichtungsfragen beantwortet, ein Material angelegt, ein Rezept gespeichert, eine Charge abgeschlossen, einen Shop verbunden, uns gebeten, deine Daten zu übernehmen, einen Steuerbericht geöffnet. Dazu einige zum Abo selbst: es hat begonnen, es hat geendet oder eine Zahlung ist fehlgeschlagen. Außerdem Seitenaufrufe und jeder JavaScript-Fehler, auf den dein Browser stößt. Sobald du angemeldet bist, tragen diese Ereignisse eine Nutzer-ID, eine zufällige Kennung, die wir ohnehin speichern: deine für das, was du tust, und die der Person, der der Arbeitsbereich gehört, für das, was dein Zahlungsanbieter uns meldet, während du nicht da bist. Auf den öffentlichen Seiten bist du nicht angemeldet, und nichts wird mit dir verknüpft. Zwei dieser Ereignisse tragen auch die Antworten, die du gegeben hast, nie etwas, das du als Freitext geschrieben hast: aus den Einrichtungsfragen die Spanne, die du für die Teamgröße und für die monatlichen Bestellungen gewählt hast, wie lange du schon dabei bist, was du vor uns benutzt hast und ob du in Chargen oder auf Bestellung fertigst. Jede dieser Antworten ist aus einer festen Liste von Optionen gewählt, nie das, was du bei „what do you make?“ eingetippt hast. Aus dem Migrationsformular das Werkzeug, von dem du kommst, und die zwei groben Zahlen, die du als Zahlen eingetippt hast, nie die Notizen, die du hineingeschrieben hast. Nie deine E-Mail-Adresse, nie deinen Namen, nie einen Geldbetrag: ein Abo-Ereignis trägt den Tarif und den Abrechnungszeitraum, nie einen Betrag. Kein Standort, kein Geräte-Fingerabdruck und keine Werbekennung.

Was wir nicht tun

• Ein Analyseanbieter, mit Namen. PostHog, und nur PostHog: nicht Google Analytics, nicht Plausible, nicht Segment, nicht Vercel Analytics und kein Werbenetzwerk. Es ist so konfiguriert, dass es die von uns gewählten Ereignisse aufzeichnet und nichts weiter: die automatische Klick-Erfassung ist aus, es gibt also kein Profil von allem, was du angeklickt hast, nur die oben genannten Schritte. PostHog hält diese Daten auf Servern in den USA. Wenn du außerhalb der USA bist, verlassen deine Nutzungsdaten also dein Land.
• Keine Tracking-Pixel, und zwei Skripte von Dritten. Jedes Skript, das eine Seite lädt, wird von unserer eigenen Domain ausgeliefert und ist Teil der Anwendung selbst, mit zwei Ausnahmen. Die Abrechnungsseite und die Abo-Ansicht laden das Checkout-Skript von Paddle von cdn.paddle.com; es ist da, um deine Zahlung entgegenzunehmen, nicht, um dich zu beobachten. Wenn Paddle bereits einen Kundendatensatz zu dir hat, teilen diese beiden Ansichten Paddle auch mit, welcher das ist, damit es eine fehlgeschlagene Zahlung nachholen kann. Diese Kennung ist die Kundenreferenz, die Paddle selbst uns ausgestellt hat, nie deine E-Mail-Adresse und nie etwas, das du in Trackost eingetippt hast. Die Abo-Ansicht erscheint über der App, wenn eine Testphase oder ein Abo abgelaufen ist; bei einem abgelaufenen Konto kann dieses Skript also auf jeder Seite geladen werden, die du geöffnet hast. Teammitglieder ohne Zugriff auf die Abrechnung sehen diese Ansicht ohne Tarifoptionen, für sie wird das Skript also nie geladen. Und die Trackost-Ansicht, die in den Shopify-Adminbereich eingebettet ist, lädt das App-Bridge-Skript von Shopify von cdn.shopify.com. Shopify verlangt es von jeder App, die innerhalb seines Adminbereichs dargestellt wird, und es erscheint nur in dieser eingebetteten Ansicht, nie auf den Seiten, die du hier aufrufst. Von einem Werbeanbieter oder einem Analyseanbieter wird nichts geladen, mit Ausnahme von PostHog, dessen Code wir von unserer eigenen Domain ausliefern, statt ihn von dort zu laden. Zu den eigenen Skripten gehört die eine Zeile, die das unten beschriebene Hinweis-Cookie liest und entscheidet, ob in der Kopfzeile „Anmelden“ oder „Dashboard öffnen“ steht. Auch die Webschriften werden von unserer eigenen Domain ausgeliefert; abgesehen von diesen beiden lädt ein Seitenaufruf also nichts von irgendjemand anderem.
• Sitzungsaufzeichnungen, mit jeder Eingabe maskiert. Wenn du angemeldet bist, kann PostHog eine Wiedergabe deiner Sitzung aufzeichnen, damit wir sehen, wo das Produkt Menschen verwirrt. Alles, was du eintippst, wird maskiert, bevor es deinen Browser verlässt. Die Aufzeichnung zeigt die Form der Seite und wohin du dich bewegt und geklickt hast, nicht den Inhalt deiner Felder. Auf den öffentlichen Seiten wird nie aufgezeichnet, nur innerhalb der App, nachdem du dich angemeldet hast.
• Was unsere eigene Domain an PostHog weiterreicht, klar gesagt. Weil diese Anfragen zuerst an trackost.com gehen und wir sie weiterreichen, werden die Cookies, die dein Browser an jede Anfrage an uns anhängt, dein Sitzungs-Cookie eingeschlossen, mit weitergeleitet. PostHog kann damit nichts anfangen und liest es nicht, aber wir sagen es lieber, als „von unserer eigenen Domain ausgeliefert“ nach mehr klingen zu lassen, als es ist.
• Keine Mailingliste. Die Adresse, die du in ein „Kostenlos testen“-Formular eintippst, kommt nicht weiter als bis zur Registrierung. Sie landet auf keiner Mailingliste. Trackost führt keine.
• Kein Verkauf, keine Weitergabe, keine Werbenetzwerke. Deine Kosten, Margen, Lieferanten und deine Kundschaft werden nie verkauft, vermietet oder an Werbetreibende weitergegeben. Sie sind der ganze Grund, warum du einem Kalkulationswerkzeug vertrauen würdest.

Wo die Daten liegen und wer sie erreichen kann

• Auf das Konto begrenzt, doppelt. Jede Abfrage, die die Anwendung stellt, trägt deine Konto-ID, und die Datenbank erzwingt dieselbe Regel unabhängig davon mit Postgres Row-Level Security: eine Sitzung, die zu einem Arbeitsbereich gehört, kann die Zeilen eines anderen Arbeitsbereichs nicht lesen, selbst wenn die Anwendung sie darum bäte.
• Dein Team. Jedes eingeladene Mitglied sieht nur den Arbeitsbereich, in den es eingeladen wurde, in der zugewiesenen Rolle. Ein Mitglied kann auch ganz ohne die Berechtigung aufgenommen werden, Geldbeträge zu sehen.
• Unsere Infrastruktur. Trackost wird auf Vercel gehostet; Datenbank, Authentifizierung und Dateispeicher laufen auf Supabase. Paddle wickelt Checkout und Abos als Merchant of Record ab. Wenn du einen Verkaufskanal verbindest, sendet dieser Kanal, also Shopify, Etsy oder Faire, Bestelldaten in deinen Arbeitsbereich, und nur, weil du ihn verbunden hast. Was Trackost von jedem übernimmt und was bewusst nicht, steht weiter unten. PostHog erhält die oben beschriebenen Nutzungsereignisse und Sitzungsaufzeichnungen, auf Servern in den USA. Vercel, Supabase, Paddle, PostHog und der Kanal, den du gewählt hast: das ist die vollständige Liste der Unternehmen, die in unserem Auftrag mit diesen Daten in Berührung kommen. Einen E-Mail-Marketing-Dienst gibt es nicht.
• Wir. Wir sehen uns die Daten deines Arbeitsbereichs an, wenn du uns darum bittest: bei einer Support-Frage oder bei der kostenlosen Migration durch uns, bei der du uns deine alten Exporte schickst und wir sie für dich einspielen.

Verbundene Verkaufskanäle

• Was wir importieren. Wenn du einen Shop verbindest, liest Trackost seine Bestellungen: Bestellnummer und Datumsangaben, Zahlungs- und Versandstatus, Summen und Währung, die Gebühren, die der Kanal dir pro Transaktion berechnet hat, und die Positionen: Produkttitel, SKU, Menge und Preis. Das sind die Zahlen, aus denen sich die echten Kosten ergeben, und sie sind der Grund, warum die Verbindung besteht.
• Was wir nicht importieren. Die persönlichen Daten der Menschen, die bei dir kaufen. Von Shopify fragt die Bestellabfrage von Trackost keinen Kundendatensatz ab, keinen Namen, keine E-Mail-Adresse, keine Telefonnummer und keine Liefer- oder Rechnungsadresse. Sie fordert diese Felder nicht an, also werden sie nie gesendet und nie gespeichert. Importierte Bestellungen sind von Anfang an frei von persönlichen Käuferdaten, statt sie nachträglich herauszufiltern.
• Etsy ist anders, und wir sagen das klar. Bei Etsy gibt es keine Möglichkeit, eine Bestellung ohne die Käuferdaten anzufragen: jeder Beleg, den Etsy zurückgibt, trägt Namen, Postanschrift und manchmal die E-Mail-Adresse der kaufenden Person, ob wir sie wollen oder nicht. Trackost liest keines dieser Felder und speichert keines davon. Der Code, der einen Etsy-Beleg in eine Bestellung verwandelt, berührt nie ein Käuferfeld, also erreicht nichts aus diesem Teil der Daten deinen Arbeitsbereich oder unsere Datenbank. Die Daten werden verworfen, sobald die oben genannten Zahlen ausgelesen sind.
• Wie weit zurück und wie oft. Die erste Synchronisierung eines neu verbundenen Etsy-Shops reicht neunzig Tage zurück, damit ein neuer Arbeitsbereich mit jüngerer Historie startet statt mit nichts. Danach meldet uns Etsy, wenn eine Bestellung bezahlt, versandt oder storniert wird, und wir prüfen zusätzlich etwa einmal pro Stunde, falls eine dieser Meldungen verloren ging. Für einen Shop, den du getrennt hast, wird nichts nach Zeitplan abgerufen.
• Wofür wir sie nutzen. Um Kosten und Gewinn dessen zu berechnen, was du hergestellt und verkauft hast, für dich, in deinem Arbeitsbereich. Nichts aus einem verbundenen Shop wird genutzt, um ein Profil zu erstellen, wird verkauft oder mit jemandem außerhalb der oben genannten Unternehmen geteilt.
• Gebühren können spät eintreffen, und wir holen sie nach. Etsy rechnet die Kartenzahlungsgebühr eines Verkaufs erst ab, wenn die Bestellung versandt wird; einer Bestellung, die am Tag ihrer Aufgabe importiert wurde, kann diese eine Zahl also fehlen. Wir lesen die Gebühren von Bestellungen, die in den letzten Tagen versandt wurden, erneut und korrigieren sie an Ort und Stelle: keine neue Bestellung, kein Duplikat. Eine Folge ist es wert, genannt zu werden: eine Bestellung, die schon vor dem Verbinden des Shops versandt war, bekommt ihre Kartenzahlungsgebühr womöglich nie, weil die Gebühr nur für Bestellungen abgerufen wird, deren Versand wir gesehen haben. Ihre übrigen Gebühren sind trotzdem da.
• Der Zugangsschlüssel des Shops. Beim Verbinden eines Shops erhält Trackost ein Zugangstoken. Es wird vor dem Speichern verschlüsselt, mit einem Schlüssel, der außerhalb der Datenbank liegt, und es wird nur über verschlüsselte Verbindungen übertragen, wie alles andere zwischen dir, uns und dem Kanal.
• Trennen und Deinstallieren. Trennst du einen Shop, widerruft Trackost sein Zugangstoken und vernichtet seine Kopie sofort; neue Bestellungen kommen nicht mehr an. Deinstallierst du die App stattdessen bei Shopify, sagt Shopify uns Bescheid, und etwa zwei Tage später löschen wir den gespeicherten Schlüssel und die empfangenen Rohdaten. Deine eigene Bestell-, Kosten- und Gewinnhistorie bleibt: das sind deine Geschäftsunterlagen, sie enthalten keine persönlichen Käuferdaten, und sie zu löschen würde deine Buchführung mitnehmen. Bitte uns darum, und wir entfernen auch sie.
• Einen Etsy-Shop trennen, genau genommen. Etsy gibt uns keine Möglichkeit, einen Schlüssel zurückzugeben, also sagen wir dir genau, was passiert, statt mehr anzudeuten. Das Trennen vernichtet unsere Kopie des Schlüssels hier und stoppt jede Synchronisierung, und der vernichtete Schlüssel hört auf Etsys Seite innerhalb einer Stunde auf zu funktionieren; die längerlebige Hälfte, die ihn hätte erneuern können, läuft innerhalb von neunzig Tagen ab, wenn nichts sie erneuert, und nichts wird das tun. Wenn du es lieber an der Quelle kappen willst, kannst du Trackost den Zugriff selbst unter etsy.com/your/apps entziehen. Das wirkt sofort und braucht nichts von uns.
• Faire ist ebenfalls anders, auf dieselbe Art. Eine Faire-Bestellung ist eine Großhandelsbestellung, mit ihr kommen also die Daten eines Geschäfts statt die einer einkaufenden Person: jede Bestellung, die Faire zurückgibt, trägt Lieferadresse und Telefonnummer des Einzelhandelsgeschäfts, Vor- und Nachname der Kontaktperson, Freitext-Notizen zur Bestellung, eine Auftragsnummer und manchmal den Namen deiner eigenen Vertriebsperson. Die Schnittstelle von Faire bietet keine Möglichkeit, eine Bestellung ohne sie anzufragen. Trackost liest keines dieser Felder und speichert keines davon. Der Code, der eine Faire-Bestellung in eine Bestellung in deinem Arbeitsbereich verwandelt, berührt keines, also erreicht nichts aus diesem Teil der Daten deinen Arbeitsbereich oder unsere Datenbank. Eines fehlt auf Faires Seite schlicht: in dem, was es uns sendet, gibt es nirgends eine E-Mail-Adresse. Wir fragen Faire auch nie nach dem Lieferschein, der einzigen Stelle, an der die Adresse eines Geschäfts als Dokument übergeben würde.
• Wie Faire-Bestellungen ankommen und was sich laufend ändert. Faire sendet keinerlei Benachrichtigungen, nichts kann uns also sagen, wann eine Bestellung erscheint. Stattdessen prüfen wir etwa einmal pro Stunde, und einmal am Tag gehen wir die Bestellungen noch einmal durch, die Faire dir noch nicht ausgezahlt hat. Die erste Synchronisierung einer neu verbundenen Marke reicht neunzig Tage zurück. Faires eigene Gebührenangaben zu einer Bestellung bleiben vorläufig, bis es die Marke auszahlt; wir aktualisieren sie also weiter, bis das geschieht, und korrigieren sie an Ort und Stelle: keine neue Bestellung, kein Duplikat. Dieses Nachprüfen ist begrenzt, und wir sagen das lieber, als anzudeuten, es liefe ewig: der tägliche Durchlauf fragt nicht mehr nach einer Bestellung, sobald sie etwa vier Monate alt ist, und eine Bestellung, die Faire bis dahin noch nicht ausgezahlt hat, ist ein Gespräch mit uns, nicht etwas, das wir weiter abfragen. Eine Grenze ist es wert, klar genannt zu werden: eine Bestellung in einer anderen Währung als der deines Arbeitsbereichs wird übersprungen statt importiert, weil Trackost eine Währung pro Arbeitsbereich führt und ein Import falsche Beträge zeigen würde. Für eine Marke, die du getrennt hast, wird nichts nach Zeitplan abgerufen.
• Eine Faire-Marke trennen, genau genommen. Faire gibt uns sehr wohl eine Möglichkeit, den Schlüssel zurückzugeben; anders als bei Etsy können wir den Satz oben hier also wirklich umsetzen: das Trennen bittet Faire, das Token zu widerrufen, und vernichtet unsere Kopie in jedem Fall sofort. Faire bestätigt den Widerruf oder nicht. Bestätigt es ihn nicht, sagen wir dir das auf dem Bildschirm, statt einen Widerruf zu behaupten, den wir nicht bekommen haben, und unsere Kopie des Schlüssels ist trotzdem weg. Neue Bestellungen kommen ab dem Moment des Trennens nicht mehr an. Faire sagt uns nie Bescheid, wenn du Trackost auf seiner Seite entfernst. Wenn du es lieber an der Quelle kappen willst, kannst du das selbst unter Integrations → My Integrations in deinem Faire-Markenportal tun. Das wirkt sofort und braucht nichts von uns.

Cookies

Sechs von Trackost, und das ist die vollständige Liste. Die Analyse fügt keines hinzu: PostHog ist so konfiguriert, dass es seine Kennung stattdessen im lokalen Speicher deines Browsers ablegt; es gibt also kein Analyse-Cookie, dem du zustimmen müsstest, und keines, das du ablehnen könntest.

• Sitzungs-Cookies. Gesetzt von Supabase Auth, wenn du dich anmeldest. Sie halten dich von einer Seite zur nächsten angemeldet; ohne sie kann die App nicht funktionieren.
• tk-remember — die Abwahl von „Angemeldet bleiben“. Wird nur geschrieben, wenn du im Anmeldeformular den Haken bei „Angemeldet bleiben“ entfernst. Es hält diese Wahl fest, damit deine Anmeldung endet, wenn der Browser geschlossen wird, und es lebt genau so lange wie diese Browsersitzung: Browser schließen, und es ist weg. Den Haken wieder zu setzen (oder dich abzumelden) entfernt es.
• tk-signed-in — ein kosmetischer Hinweis. Es enthält den einzigen Wert 1, ist von der Seite lesbar (nicht http-only) und wird für genau eine Sache genutzt: um zu entscheiden, ob der Button in der Kopfzeile der Marketingseiten „Anmelden“ oder „Dashboard öffnen“ heißt. Es gewährt keinerlei Zugriff. Das tun allein die Sitzungs-Cookies oben.
• tk-etsy-pkce — der Handshake der Etsy-Verbindung. Wird nur in dem Moment geschrieben, in dem du auf „Connect Etsy“ klickst, und gelöscht, sobald Etsy dich zurückschickt. Es lebt zehn Minuten, ist nur von unserem Server lesbar (nie von der Seite) und ist auf die zwei Adressen der Etsy-Verbindung begrenzt statt auf die ganze Website. Es enthält einen zufälligen Einmalwert, der beweist, dass die Antwort von der Verbindung stammt, die du gestartet hast. Es ist keine Kennung, es sagt nichts über dich aus, und es ist nutzlos, sobald diese Verbindung abgeschlossen ist.
• sidebar_state — der Seitenleisten-Schalter. Es enthält true oder false und hält fest, ob du die Seitenleiste der App zuletzt eingeklappt hast. Dein Browser schreibt es in dem Moment, in dem du sie ein- oder ausklappst, nie beim Seitenaufruf, nie auf dem Handy, und es läuft nach sieben Tagen ab. Es enthält keine persönlichen Daten und keine Kennung. Nichts in Trackost liest es heute zurück: es kommt mit der Seitenleisten-Komponente, auf der die App aufbaut, und es steht hier, weil eine vollständige Liste die einzige ist, die sich zu drucken lohnt.
• tk-locale — deine Sprachwahl. Es enthält en oder de und hält fest, welche Sprache du für Trackost gewählt hast. Es wird gesetzt, wenn du eine Sprache wählst oder dich anmeldest, nie beim Seitenaufruf, und es lebt ein Jahr. Es ist vom eigenen Skript der Seite lesbar (nicht http-only), wie der Anmeldehinweis oben. Es enthält keine Kennung und gewährt keinerlei Zugriff.

Trackost setzt keine Werbe-Cookies, keine Analyse-Cookies und keine seitenübergreifenden Tracker. Das Checkout-Skript von Paddle in den zwei oben genannten Ansichten ist ein Dritter und kann eigenen Speicher setzen, den wir nicht kontrollieren und hier nicht aufzählen können; die eigene Datenschutzerklärung von Paddle deckt ihn ab. Nichts, was Trackost selbst setzt, erfordert eine Einwilligung.

Zahlungen

Trackost verarbeitet Kartenzahlungen nicht selbst. Der Checkout läuft über Paddle, das als Merchant of Record auftritt: Kartendaten werden im Checkout von Paddle eingegeben und erreichen die Server von Trackost nie. Alles, was wir zu deinem Konto behalten, sind die Kunden- und Abo-Referenz-IDs von Paddle, damit wir dir deinen Tarif anzeigen und ihn kündigen können, wenn du darum bittest. Die kostenlose Testphase verlangt gar keine Karte.

Deine Daten exportieren und löschen

• Export, jederzeit. Deine Berichte lassen sich aus der App heraus als CSV exportieren: Materialien, Produkte, Bestellungen, Einkäufe, Gewinn und Verlust und der Rest. Keine Anfrage, keine Warteschlange, kein „Vertrieb kontaktieren“.
• Löschung, auf Anfrage. Schreib uns eine E-Mail von der Adresse des Kontos, und wir löschen den Arbeitsbereich und die Daten darin. Sag, was entfernt werden soll; wenn es der ganze Arbeitsbereich ist, sag das klar.
• Kündigen ist nicht Löschen. Ein Abo zu beenden löscht von sich aus nichts. Deine Daten bleiben exportierbar, und nichts wird zurückgehalten.