metalign

Datenschutzerklärung

Privacy policy — the German text below is the authoritative version.

Diese Website ist eine statische Seite ohne Konto, ohne Formular und ohne Anmeldung. Sie setzt keine Cookies und lädt nichts von fremden Servern. Verarbeitet wird ein gekürztes Server-Logfile, und für die Reichweitenmessung läuft seit dem 09.09.2026 ein Skript im Browser, das keine Cookies setzt und ausschließlich diesen Server anspricht. Das ist alles, und unten steht genau, was erhoben wird und wie lange es bleibt.

Diese Erklärung gilt außerdem für E-Mails an uns (Abschnitt 7) und für die App metalign (Abschnitt 8). Die App hat kein Nutzerkonto und sendet nichts an uns; was sie aufzeichnet, bleibt auf Ihrem Gerät, bis Sie es selbst weitergeben.

1. Verantwortlicher

Christoph Auer
Im Gallmoos 1
93128 Regenstauf
Deutschland
E-Mail: kontakt@metalign.org

Ein Datenschutzbeauftragter ist nicht benannt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor.

2. Aufruf der Website (Server-Logfiles)

Beim Aufruf einer Seite überträgt Ihr Browser technisch notwendige Daten an den Server. Protokolliert werden:

Die Kürzung geschieht beim Schreiben, nicht nachträglich. Die vollständige IP-Adresse wird zu keinem Zeitpunkt gespeichert; sie besteht nur so lange, wie der Server sie zur Beantwortung Ihrer Anfrage technisch benötigt. Ein etwaiger Cookie- oder Authorization-Header wird vor dem Schreiben aus dem Protokoll entfernt.

Zweck und Rechtsgrundlage

Auslieferung der Seite, Stabilität und Sicherheit des Servers sowie die Aufklärung von Störungen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im technisch fehlerfreien und sicheren Betrieb — und ist durch die Kürzung auf das Nötigste beschränkt.

Speicherdauer

Die Protokolldateien werden nach 90 Tagen automatisch gelöscht.

3. Hosting

Die Website wird auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland betrieben. netcup verarbeitet die oben genannten Daten ausschließlich in unserem Auftrag und nach unseren Weisungen; es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Der Serverstandort ist Nürnberg, Deutschland. Auf demselben Server läuft auch die in Abschnitt 4 beschriebene Analyse-Software; es ist kein weiterer Dienstleister beteiligt.

4. Reichweitenmessung

Die Reichweitenmessung besteht aus zwei Teilen. Der erste erhebt gar nichts zusätzlich: Aus den oben beschriebenen — bereits gekürzten — Protokolldateien wird auf dem Server eine Zugriffsstatistik erzeugt (GoAccess). Diese Auswertung findet vollständig auf unserem Server statt, verlässt ihn nicht und wird nicht veröffentlicht.

Matomo, selbst betrieben und ohne Cookies

Der zweite Teil ist Matomo, eine Analyse-Software, die wir selbst betreiben. Sie wird nicht von einem Anbieter bereitgestellt, und es werden keine Daten an Dritte übermittelt: Das Zählskript wird von dieser Website ausgeliefert (/mtm/matomo.js), und die Messwerte gehen an dieselbe Adresse zurück (/mtm/matomo.php). Ihr Browser nimmt dafür zu keinem fremden Server Verbindung auf.

Das Skript speichert nichts auf Ihrem Gerät. Es enthält keinen Aufruf von localStorage, sessionStorage oder IndexedDB — das ist an der ausgelieferten Datei nachgesehen und nicht bloß eine Frage der Einstellung. Cookies setzt es ebenfalls keine; das ist eine Einstellung (disableCookies), und sie steht im Quelltext dieser Seite direkt über </body>, wo Sie sie nachlesen können.

Erhoben wird bei jedem Seitenaufruf: die aufgerufene Adresse, die verweisende Seite, Zeitpunkt und Dauer des Besuchs, angeklickte Links, Browser- und Betriebssystemkennung, Bildschirm- und Fenstergröße, die Zeichenkodierung der Seite und ihre Ladezeiten sowie eine aus der IP-Adresse abgeleitete grobe Herkunft (in der Regel Land und Region). Unterstützt Ihr Browser User-Agent Client Hints, fragt das Skript zusätzlich nach Plattform, Plattformversion, Gerätemodell, vollständiger Browserversion und Bauform. Die IP-Adresse wird gekürzt, bevor sie gespeichert wird: Die letzten zwei Bytes werden entfernt, und auch die grobe Herkunft wird aus der bereits gekürzten Adresse bestimmt. Die vollständige Adresse wird nicht gespeichert.

Zweck und Rechtsgrundlage. Wir möchten wissen, welche Seiten gelesen werden und ob sie auf verschiedenen Geräten funktionieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, diese Website verständlich und technisch brauchbar zu halten; dem steht ein Eingriff gegenüber, der durch den Verzicht auf Cookies, das Fehlen jeder geräteübergreifenden Kennung, die Kürzung der IP-Adresse vor dem Speichern und die Beschränkung auf einen einzigen, selbst betriebenen Server gering gehalten ist. Ein Profil über Sie entsteht nicht, und die Daten werden weder verkauft noch mit anderen Quellen zusammengeführt.

Speicherdauer. Die Einzeldatensätze dieser Messung werden nach 90 Tagen automatisch gelöscht, wie die Server-Logfiles aus Abschnitt 2. Die daraus erzeugten zusammengefassten Berichte enthalten keine einzelnen Besuche mehr und bleiben.

Warum es dafür kein Cookie-Banner gibt. § 25 TDDDG verlangt eine Einwilligung, wenn Informationen auf Ihrem Endgerät gespeichert oder von dort ausgelesen werden. Gespeichert wird nichts, siehe oben. Ausgelesen wird überwiegend das, was Ihr Browser bei jedem Seitenaufruf ohnehin mitsendet, dazu Bildschirm- und Fenstergröße. Eine Angabe fällt aus dieser Reihe: Die Nachfrage nach den Client Hints holt Angaben, die Ihr Browser von sich aus nicht sendet, und ist damit eher ein Zugriff auf Ihr Gerät als ein Entgegennehmen. Wir nennen sie hier ausdrücklich, statt sie unter „Browserkennung“ zu führen. Wir halten die Messung insgesamt für nach Art. 6 Abs. 1 lit. f DSGVO zulässig und nicht einwilligungsbedürftig. Das ist eine Rechtsauffassung und keine Selbstverständlichkeit; wenn Sie sie nicht teilen, wirkt der Widerspruch im nächsten Absatz sofort.

Widerspruch. Sie können der Messung nach Art. 21 DSGVO jederzeit widersprechen; eine formlose Nachricht an die oben genannte Adresse genügt. Unabhängig davon wirkt jeder Inhaltsblocker: Wird /mtm/matomo.js nicht geladen, findet keine Messung statt, und die Seite funktioniert unverändert weiter. Sie enthält kein Skript, das für ihre Darstellung nötig wäre. Und sendet Ihr Browser den Hinweis Do Not Track, wird Ihr Aufruf gar nicht erst gemessen.

5. Was diese Seite nicht tut

6. Links zum App Store

Die Seite verlinkt auf den App Store von Apple. Erst wenn Sie einen solchen Link anklicken, verlassen Sie diese Website; ab dann ist Apple eigenständig verantwortlich und es gelten dessen Datenschutzbestimmungen. Ein bloßer Link überträgt vorher nichts.

7. E-Mail an uns

Sie erreichen uns unter kontakt@metalign.org. Eine zweite Adresse, gear@metalign.org, nennt nur die App: An sie geht ein Vorschlag für ihren Ausrüstungskatalog, wenn Sie ihn abschicken (Abschnitt 8). Schreiben Sie uns an eine der beiden, erhalten wir Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht und was Ihr E-Mail-Programm sonst mitschickt, etwa Ihren Namen und den Zeitpunkt.

Zweck und Rechtsgrundlage. Wir verwenden diese Angaben nur, um Ihre Nachricht zu bearbeiten: eine Frage zu beantworten oder einen Katalogvorschlag zu prüfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihnen antworten und den Katalog pflegen zu können. In den Katalog übernommen werden nur die Angaben zum Objektiv oder Film, nie Ihr Name oder Ihre Adresse. Weitergegeben wird Ihre Nachricht nicht.

Speicherung. Die Postfächer liegen bei der netcup GmbH (Abschnitt 3), die sie in unserem Auftrag nach Art. 28 DSGVO betreibt. Eine Nachricht wird gelöscht, sobald sie erledigt ist: eine Anfrage, wenn sie beantwortet ist und nichts mehr aus ihr folgt, ein Katalogvorschlag, sobald er übernommen oder verworfen ist. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Auf dem Weg zu uns läuft die Nachricht über Ihren eigenen E-Mail-Anbieter, der für diesen Teil selbst verantwortlich ist.

8. Die App metalign

Dieser Abschnitt gilt für die App metalign und die zugehörige App auf der Apple Watch. Die App sendet nichts an uns. Sie hat kein Nutzerkonto, keinen eigenen Server, keine Werbung und keine Analyse- oder Absturzberichts-Software. Was sie aufzeichnet — Ihre Filme und Aufnahmen, Belichtungen, Notizen, Orte und Ihre Ausrüstung —, speichert sie auf Ihrem Gerät. Es verlässt das Gerät nur auf den unten genannten Wegen, jeder davon beginnt mit einer Handlung von Ihnen, und keiner führt zu uns. Die drei Ausnahmen, bei denen uns doch etwas erreicht, stehen am Ende dieses Abschnitts.

Auf Ihrem Gerät

Die Bibliothek der App liegt in deren eigenem Speicherbereich auf Ihrem Gerät; wir haben darauf keinen Zugriff. Löschen Sie die App, löscht iOS diese Daten mit ihr. Was in einer Gerätesicherung oder, falls eingeschaltet, in Ihrem iCloud liegt, bleibt dort, bis Sie es dort löschen.

Standort

Die App fragt nach Ihrem Standort, damit jede Aufnahme den Ort trägt, an dem Sie sie gemacht haben; später wird er als GPS-Angabe in die Scans geschrieben. Dafür genügt die Erlaubnis Beim Verwenden der App. Um Immer fragt die App nur, wenn Sie einen GPS-Track starten, der weiterlaufen soll, während das Telefon in der Tasche ist; ein Track beginnt nie von selbst. Eine Aufnahme, die Sie an der Apple Watch festhalten, bekommt ihren Ort von der Uhr, die ihn an Ihr iPhone weitergibt. Sie können die Erlaubnis jederzeit in den iOS-Einstellungen ändern; die App funktioniert dann ohne Orte weiter.

Ortsnamen und Karten

Die App kann einen Ort beim Namen nennen. Dafür schickt sie seine Koordinate an den Dienst von Apple, der Orte benennt, und zwar nur, wenn Sie danach fragen: bei einer einzelnen Aufnahme, für eine ganze Rolle oder beim Teilen einer Aufnahme, nie im Hintergrund und nie beim Start. Zeigt die App eine Karte, lädt iOS die Kartendaten für den gezeigten Ausschnitt von Apple. In beiden Fällen verarbeitet Apple die Anfrage in eigener Verantwortung nach den Datenschutzbestimmungen von Apple; an uns geht dabei nichts.

Fotos und Dateien

Die App liest nur die Bilder, die Sie ihr selbst geben — Scans, auf die sie Ihr Shot Log schreiben soll, oder ein Foto, zu dem sie die passende Aufnahme sucht —, aus der Fotomediathek oder aus einem Ordner, den Sie in der Dateien-App wählen. Sie schreibt die Angaben in die Bilder und legt sie auf Wunsch in einem Album ab, das nach der Rolle heißt; deshalb fragt sie nach Lese- und Schreibzugriff auf Ihre Fotos. Geben Sie nur ausgewählte Fotos frei, arbeitet sie mit diesen. Von jedem geschriebenen Scan behält die App eine Kopie auf dem Gerät, die sich in ihren Einstellungen auf ein Vorschaubild beschränken lässt. Die Bilder werden auf dem Gerät bearbeitet und nirgendwohin hochgeladen.

Kamera

Die Kamera nutzt die App, um den Strichcode auf einer Filmschachtel zu lesen, entwickelte Negative als Positiv zu zeigen und das Motiv zu zeigen, bevor Sie eine Aufnahme festhalten. Ein Bild behält sie nur, wenn Sie eine Aufnahme bei geöffneter Kamera festhalten; es bleibt auf diesem Gerät und geht weder in iCloud noch in eine Datei.

Abgleich über iCloud

Der Abgleich über iCloud ist aus, bis Sie ihn in den Einstellungen der App einschalten. Dann legt die App Ihre Rollen, Aufnahmen, Ausrüstung, Einstellungen, Tracks und die behaltenen Scans in der privaten Datenbank Ihres eigenen iCloud-Accounts ab, damit sie auf Ihren anderen Geräten erscheinen. Diese Datenbank gehört zu Ihrem Account, und wir können sie nicht einsehen; Anbieter ist Apple, und es gelten die Bedingungen, unter denen Sie iCloud nutzen. Ausschalten beendet den Abgleich auf diesem Gerät. Die Kopie in iCloud löschen Sie, indem Sie die Rollen auf einem Gerät löschen, das noch abgleicht, oder in den iCloud-Einstellungen Ihres Geräts.

Weitergeben, wohin Sie wollen

Ein Shot Log, ein GPS-Track, ein Kontaktbogen, eine Aufnahme zum Teilen oder eine Kopie der Bibliothek für eine Fehlermeldung verlassen das Gerät nur, wenn Sie sie selbst weitergeben, und nur dorthin, wohin Sie sie schicken: über das Teilen-Menü, AirDrop, die Dateien-App oder einen Kurzbefehl. Ein Shot Log enthält, was Sie zu jeder Aufnahme festgehalten haben, Orte und Notizen eingeschlossen; die Kopie für eine Fehlermeldung enthält die Bibliothek ohne Tracks und Bilder. Schicken Sie uns eine solche Datei, gilt für sie Abschnitt 7.

An Ihren Mac, und zurück. Auf Ihren Wunsch sucht die App im lokalen Netzwerk nach metalign auf Ihrem Mac und übergibt ihm ein Shot Log oder einen Track direkt; dafür fragt iOS nach dem Zugriff auf das lokale Netzwerk. Die Suche beginnt erst, wenn Sie sie antippen. Solange der Bildschirm Korrekturen vom Mac empfangen offen ist, ist das Telefon unter seinem Namen im lokalen Netzwerk sichtbar, damit der Mac ihm die Korrekturen schicken kann, die Sie dort an einer Rolle gemacht haben; übernommen werden sie erst, wenn Sie es auf dem Telefon bestätigen. Beim ersten Kontakt zeigen beide Geräte denselben sechsstelligen Code, den Sie vergleichen und auf beiden bestätigen; dabei vereinbaren sie einen Schlüssel, der nur auf diesen beiden Geräten liegt, nie in iCloud, und den Sie unter Einstellungen › Vertraute Macs wieder löschen können. Die Übergabe geht in beiden Richtungen unmittelbar zwischen Telefon und Mac, ohne Umweg über das Internet, und ist mit diesem Schlüssel verschlüsselt; ein Mac, dem das Telefon nicht vertraut, bekommt nichts. Über das Netz gehen dabei der Name des Geräts und, beim ersten Kontakt, ein öffentlicher Schlüssel.

Per Handoff an Ihren Mac. Solange eine Rolle auf Ihrem entsperrten iPhone geöffnet ist, bietet die App sie über Handoff an, die Funktion von Apple, mit der man auf einem anderen Gerät weitermacht. Dieses Angebot trägt nur die Kennung der Rolle und ihren Titel, nie das Shot Log. Handoff reicht es nur an Ihre eigenen Geräte weiter, die mit demselben Apple Account angemeldet sind, und für die Suche und für Siri-Vorschläge gibt die App es nicht frei. Dafür genügt es, die Rolle zu öffnen; ein solcher Mac zeigt dann metalign in seinem Dock. Erst wenn Sie dort darauf klicken, fragt metalign auf dem Mac beim Telefon an, und das Telefon schickt ihm das Shot Log dieser einen Rolle, dasselbe Dokument wie bei der Übergabe über das lokale Netzwerk, zusammen mit dem Namen des Geräts. Der Mac antwortet mit einer Bestätigung, die die App bei der Rolle vermerkt. Den Kanal dafür stellt Apple zwischen Ihren Geräten bereit und authentifiziert und verschlüsselt ihn; einen Code oder einen vertrauten Mac braucht dieser Weg nicht, weil Handoff nur Ihre eigenen Geräte verbindet. Schließen Sie die Rolle oder sperren Sie das Telefon, endet das Angebot. Handoff lässt sich in den Einstellungen von iPhone und Mac ausschalten. An uns geht dabei nichts.

In den Browser. Öffnen Sie eine Rolle in metalign im Browser, ruft die App die Seite web.metalign.org auf und gibt das Shot Log im Teil der Adresse hinter dem # mit. Diesen Teil sendet der Browser nicht an den Server; die Seite liest ihn auf Ihrem Gerät. Was beim Aufruf der Seite verarbeitet wird, steht in der Datenschutzerklärung von metalign web. Weil die Adresse das Shot Log trägt, kann sie im Verlauf Ihres Browsers stehen bleiben.

Siri, Kurzbefehle und Widgets

Aufnahmen lassen sich auch über Siri, Kurzbefehle, Widgets und die Live-Aktivität auf dem Sperrbildschirm festhalten. Die App verarbeitet sie wie jede andere Aufnahme auf dem Gerät; was Sie zu Siri sagen, verarbeitet Apple.

Was uns doch erreicht

Rechtsgrundlage. Was die App auf Ihrem Gerät tut, geschieht für Sie und erreicht uns nicht. Auf Standort, Fotos, Kamera und lokales Netzwerk greift sie nur mit Ihrer Erlaubnis zu, die iOS einholt und die Sie jederzeit zurücknehmen können; ohne sie funktioniert der Rest der App weiter. Für die drei Ausnahmen gilt Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse liegt darin, den Katalog zu pflegen und Fehler der App zu finden und zu beheben.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, der Verarbeitung aus Gründen Ihrer besonderen Situation zu widersprechen (Art. 21 DSGVO). Wenden Sie sich dafür an die oben genannte Adresse.

Ein praktischer Hinweis dazu: Da nur gekürzte Adressen gespeichert werden, lässt sich ein einzelner Aufruf in der Regel keiner Person zuordnen. Wir können Sie in diesen Daten also nicht wiederfinden — und müssen dafür nach Art. 11 DSGVO auch keine zusätzlichen Informationen erheben, nur um eine Zuordnung zu ermöglichen.

Was die App aufzeichnet, liegt bei Ihnen und nicht bei uns: Sie sehen, ändern und löschen es in der App selbst. Bei uns liegt davon nur, was Abschnitt 8 unter den Ausnahmen nennt.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder des mutmaßlichen Verstoßes.

Privacy policy (English)

This is a convenience translation. The German text above is the version that applies.

The controller is Christoph Auer, at the address above. This is a static site: no account, no form and no cookies, and nothing is loaded from anyone else's server. The fonts and the analytics software are served from this site. This policy also covers email to us and the metalign app, both below; the app has no account and sends nothing to us.

Loading a page writes one line to a server log: a truncated IP address (the last 8 bits removed for IPv4, the last 80 for IPv6), the time, the address requested, the HTTP status and size, the referrer if sent, and the user agent. The truncation happens as the line is written; the full address is never stored. Any Cookie or Authorization header is stripped before writing. Logs are deleted after 90 days. The legal basis is Art. 6(1)(f) GDPR: operating the site securely and diagnosing faults.

Hosting is by netcup GmbH, Karlsruhe, Germany, as a processor under Art. 28 GDPR, on a server in Nuremberg, Germany. The analytics software described below runs on that same server; no other provider is involved. Nothing is transferred outside the EU.

Reach is measured in two ways. Visitor statistics are generated on that same server from the already-truncated logs, and are never published or shared. Since 9 September 2026 there is also Matomo, which we run ourselves: the counting script is served by this site (/mtm/matomo.js) and the measurements go back to the same address (/mtm/matomo.php), so your browser contacts no one else. It stores nothing on your device: the file contains no call to localStorage, sessionStorage or IndexedDB, which was checked in the served file rather than inferred from its configuration. It sets no cookies either; that one is a setting (disableCookies), written into this page's source above </body> where you can read it. Per page view it records the address requested, the referrer, the time and length of the visit, links clicked, your browser and operating system, your screen and window size, the page's character encoding and load timing, and a coarse location derived from your IP address, usually country and region. If your browser supports User-Agent Client Hints, the script also asks it for your platform, platform version, device model, full browser version and form factor — which is more than the browser sends on its own, and is named here rather than folded into "your browser". The IP address is truncated before it is stored: the last two bytes are removed, and the coarse location is derived from the already-truncated address, so the full address is never stored. The individual records are deleted automatically after 90 days, like the server logs above; the summarised reports built from them hold no individual visits and are kept. The legal basis is Art. 6(1)(f) GDPR, keeping this site readable and working — no cookies, no cross-device identifier and a single self-run server keep the intrusion small — and you may object at any time under Art. 21 GDPR by writing to the address above. Any content blocker also works: if /mtm/matomo.js does not load, nothing is measured and the page is unchanged, because no script here is needed to render it. And if your browser sends the Do Not Track signal, your visit is not measured at all.

There is no cookie banner. § 25 TDDDG requires consent for storing information on your device or reading information from it. Nothing is stored, as above. What is read is mostly what your browser sends on every request anyway, plus your screen and window size — with one item that stands apart: the Client Hints query asks for values your browser does not send on its own, which is closer to reaching into your device than to receiving what arrived. On balance the measurement is done under Art. 6(1)(f) GDPR rather than consent. That is a legal position rather than a certainty; if you do not share it, the objection above takes effect immediately.

Writing to us

You can write to kontakt@metalign.org. A second address, gear@metalign.org, appears only in the app: a suggestion for its gear catalogue goes there when you send one (below). Either way we receive your email address, your message and whatever your mail program adds, such as your name and the time. We use it only to deal with your message, answering a question or checking a catalogue suggestion, under Art. 6(1)(f) GDPR. Only the lens or film details ever go into the catalogue, never your name or address, and the message is not passed on. The mailboxes are hosted by netcup GmbH as a processor under Art. 28 GDPR. A message is deleted once it has been dealt with: an enquiry when it is answered and nothing further follows from it, a catalogue suggestion once it has been added or declined, unless a statutory retention duty applies. On its way to us it passes through your own mail provider, which is responsible for that part.

The metalign app

This covers the metalign app and its Apple Watch app. The app sends nothing to us. It has no account, no server of its own, no advertising and no analytics or crash-reporting software. What it records (your rolls and frames, exposures, notes, places and gear) is stored on your device, and it leaves the device only by the routes below, each of which starts with something you do and none of which leads to us. The three exceptions, where something does reach us, are at the end.

On your device. The library sits in the app's own storage on your device, and we have no access to it. Deleting the app deletes it; what is in a device backup, or in your iCloud if you turned that on, stays there until you delete it there.

Location. The app asks for your location so that each frame carries the place you took it, which is later written into the scans as GPS data. While Using the App is enough for that. It asks for Always only when you start a GPS track that should keep recording with the phone in a pocket; a track never starts by itself. A frame logged on the Apple Watch takes its place from the watch, which passes it to your iPhone. You can change the permission in iOS Settings at any time, and the app goes on working without places.

Place names and maps. The app can tell you what a place is called. To do so it sends the coordinate to Apple's service that names places, and only when you ask: for one frame, for a whole roll or when sharing a frame, never in the background and never at launch. When the app shows a map, iOS loads the map data for the area shown from Apple. In both cases Apple handles the request on its own responsibility, under Apple's privacy policy, and nothing reaches us.

Photos and files. The app reads only the pictures you give it (scans to write your shot log onto, or a photo to find the matching frame for) from your photo library or from a folder you pick in the Files app. It writes the details into them and, if you wish, collects them in an album named after the roll, which is why it asks for read and write access to your photos; if you share only selected photos, it works with those. It keeps a copy of every scan it writes on the device, which its settings can limit to a thumbnail. Pictures are processed on the device and uploaded nowhere.

Camera. The app uses the camera to read the barcode on a film box, to show developed negatives as positives, and to show the scene before you log a frame. It keeps a picture only when you log a frame with the camera open, and that picture stays on this device; it goes neither to iCloud nor into a file.

iCloud. Syncing with iCloud is off until you turn it on in the app's settings. Then the app keeps your rolls, frames, gear, settings, tracks and kept scans in the private database of your own iCloud account, so they appear on your other devices. That database belongs to your account and we cannot see it; the provider is Apple, under the terms on which you use iCloud. Turning it off stops syncing on that device. To remove the copy in iCloud, delete the rolls on a device that is still syncing, or use your device's iCloud settings.

Sharing, wherever you choose. A shot log, a GPS track, a contact sheet, a frame to share or a copy of the library for a bug report leaves the device only when you pass it on, and only to where you send it: the share sheet, AirDrop, the Files app or a shortcut. A shot log holds what you recorded for each frame, places and notes included; the copy for a bug report holds the library without tracks or pictures. If you send us such a file, the paragraph on writing to us applies.

To your Mac, and back. When you ask, the app looks for metalign on your Mac on the local network and hands it a shot log or a track directly, which is why iOS asks for local network access. The search starts only when you tap it. While the Receive corrections from your Mac screen is open, the phone is visible on the local network under its name so that the Mac can send it the corrections you made to a roll there; they are applied only once you confirm them on the phone. On first contact both devices show the same six-digit code, which you compare and confirm on both; in doing so they agree a key that lives only on those two devices, never in iCloud, and that you can delete again under Settings › Trusted Macs. In either direction the hand-over goes straight between the phone and the Mac without passing through the internet, and it is encrypted with that key; a Mac the phone does not trust receives nothing. What crosses the network is the device's name and, on first contact, a public key.

To your Mac by Handoff. While a roll is open on your unlocked iPhone, the app offers it through Handoff, Apple's feature for carrying on with something on another device. The offer carries only the roll's identifier and its title, never the shot log. Handoff passes it only to your own devices signed in to the same Apple Account, and the app does not make it available to search or to Siri suggestions. Opening the roll is all it takes; such a Mac then shows metalign in its Dock. Only when you click it there does metalign on the Mac ask the phone, and the phone sends it that one roll's shot log, the same document as the hand-over on the local network, together with the device's name. The Mac answers with a receipt, which the app notes against the roll. Apple provides the channel between your devices and authenticates and encrypts it; this route needs no code and no trusted Mac, because Handoff connects only your own devices. Closing the roll or locking the phone ends the offer. Handoff can be turned off in the settings of your iPhone and your Mac. Nothing reaches us.

To a browser. When you open a roll in metalign in a browser, the app opens web.metalign.org and passes the shot log in the part of the address after the #. Browsers do not send that part to the server; the page reads it on your device. What loading the page involves is in metalign web's privacy policy. Because the address carries the shot log, it can remain in your browser's history.

Siri, Shortcuts and widgets. Frames can also be logged through Siri, Shortcuts, widgets and the Live Activity on the Lock Screen. The app handles them like any other frame, on the device; what you say to Siri is processed by Apple.

What does reach us. First, a catalogue suggestion you send yourself: for a lens or film you created, the app can prepare a suggestion for its gear catalogue as an email draft to gear@metalign.org in your own mail app, and only when you send it there do we receive your address and the catalogue details: for a lens its make, model, focal length, apertures and mount, for a film its brand, name, speed, process and formats. A serial number, a note or a learned barcode never goes with it. You see every character before sending, and can change or discard it. Second, crash reports and statistics through Apple: if you agreed in iOS Settings, under Privacy & Security › Analytics & Improvements, to share with app developers, Apple gives us crash reports and summarised usage statistics for the app. Apple collects them and, by its own account, passes them on aggregated or in a form that does not identify you personally; we see them in Apple's tools for developers, and you can change your consent in the same place. Third, feedback from a test: if you test the app through Apple's TestFlight, we see the name and email address you were invited under and what you send through TestFlight, such as feedback, screenshots and crash reports with technical details of the device. Apple stores these under TestFlight's rules; on request we remove you from the test.

Legal basis. What the app does on your device is done for you and does not reach us. It accesses location, photos, the camera and the local network only with the permission iOS asks you for, which you can withdraw at any time, and the rest of the app keeps working without it. For the three exceptions the basis is Art. 6(1)(f) GDPR: our legitimate interest in keeping the catalogue and in finding and fixing faults in the app.

You have the rights of access, rectification, erasure, restriction and portability (Art. 15–20 GDPR) and the right to object on grounds relating to your particular situation (Art. 21). Note that because only truncated addresses are kept, a single visit generally cannot be linked to a person. So we are unable to identify you within that data, and under Art. 11 GDPR we are not required to collect more information in order to do so. What the app records is with you, not with us: you see, change and delete it in the app itself, and we hold only what the three exceptions above describe. You may also lodge a complaint with a supervisory authority (Art. 77), in particular in the member state where you live.

Stand: · Last updated