# Notatky privacy notice / Aviso de privacidad de Notatky

## English

**Version `beta-2026-09-16-1` · Last updated September 16, 2026.** This notice applies to the direct-to-consumer Notatky beta and its expressly labeled Stripe Sandbox plan test when this version is shown during registration.

### 1. Operator and scope

**IKONBAI, Inc.**, a Delaware corporation, at 1841 N Fuller Ave #309, Los Angeles, CA 90046, United States, operates Notatky. Contact **kotkave@gmail.com** for privacy requests or questions. The beta is for people age 14 or older. Parent Connect is optional. This notice does not cover a future school-managed service. Live paid checkout remains disabled; material changes required for live billing will receive a new notice or supplement before activation.

### 2. Information we handle

- **Account and eligibility:** email address, Supabase user identifier, selected language, email-confirmation status, 14+ confirmation, accepted Terms version, Privacy Notice version and timestamps.
- **Study content:** files you explicitly upload, file type and size, extracted text, notes, subjects and your additions.
- **Activity you choose to save:** cloud-library revisions, processing status and feedback sent through the beta form.
- **Sandbox billing data:** when an authenticated adult tester intentionally opens Stripe Sandbox, selected plan, checkout or subscription status, Stripe customer and event references, and the account-to-customer linkage. Notatky does not receive a full payment-card number.
- **Technical and security data:** IP address, request time, browser or device information, error details and security events recorded by our hosting and account providers.
- **Device-only data:** the local prototype library, local flashcards and unsent drafts may stay only in that browser. Clearing browser data may erase them.

Do not upload passwords, government identifiers, medical records, private information about classmates, or recordings you lack permission to make.

### 3. Why we use it

We use this information to confirm account access and age eligibility, provide the study feature you request, keep account data separated, prevent abuse, diagnose failures, answer support or privacy requests and review beta feedback. Notatky does not sell personal information, share it for cross-context behavioral advertising, show targeted ads, or use student content to train a general-purpose AI model.

### 4. Services that process data

- **Supabase** provides email authentication, private database records and private file storage.
- **Resend** delivers transactional authentication emails for Supabase. It receives the recipient email address and authentication message, including temporary code or confirmation content, and records delivery events needed to deliver and troubleshoot those messages. Resend does not receive study files or notes through this email connection. Its [Data Processing Addendum](https://resend.com/static/documents/resend-dpa-signed.pdf) and [Privacy Policy](https://resend.com/legal/privacy-policy) describe its provider terms and procedures.
- **OpenAI**: OpenAI processes the selected passage, note title, source label and generated output when you request AI cards or an explanation of a saved passage. It creates that output and checks the input and output for study safety. We do not send your email, account identifier, account token, full library or original uploaded file through this connection. The passage itself may contain personal information; use non-sensitive study content.
- **Railway** hosts the website and the private processing service.
- **GitHub** stores application source code. It is not a destination for student files or notes.
- **Stripe** provides the expressly labeled Sandbox checkout and customer portal used to test the prepared Starter and Plus flows. Stripe receives the adult tester's email, selected plan and billing identifiers. Sandbox does not make a real charge. Live billing requires a separate release decision and matching subscription disclosures.

When account processing is marked available, Notatky sends the selected private file to its Railway processing service to extract supported text. The worker is designed to remove temporary job files after the request. Unexpected termination may delay that cleanup until the isolated runtime is replaced. The original private upload remains in Supabase until the user deletes it.

OpenAI API content is not used for model training by default. We request no stored response history (store: false). Abuse-monitoring records can still contain prompts and answers, normally for up to 30 days with legal or safety exceptions; prompt caches may persist for up to 24 hours. This is not zero retention. [OpenAI data controls](https://developers.openai.com/api/docs/guides/your-data).

Cloud AI chat and hosted audio transcription are not included in this release. Activating a new AI, speech, analytics or advertising provider requires an updated provider review and, when the use materially changes, a new notice and registration release.

We may disclose the minimum necessary information to a service provider operating under our instructions, to respond to a valid legal requirement, or to address a serious security or safety issue. Parent Connect does not automatically disclose a student's files, notes or conversations.

### 5. Retention

- Account, eligibility and active study records are kept while the account participates in the beta.
- A deleted file or cloud library is removed from the active user-facing store after the service confirms deletion. Downloads and separate device copies are not affected.
- Beta feedback is kept for up to 12 months unless it is needed longer to resolve a reported security, privacy or legal issue.
- Acceptance and revocation receipts may be kept for up to three years after the beta relationship ends so we can document the version and decision.
- The AI usage ledger stores a hash of the account identifier, request time, token counts, estimated cost and provider response IDs. It does not store study text. Current-month limits survive restarts; older operational records follow the 90-day target below.
- Security and diagnostic records controlled by Notatky are limited to what is needed to operate and protect the beta, with a target maximum of 90 days unless a specific incident or legal obligation requires longer. Authentication delivery records held by Supabase and Resend expire under their provider-controlled procedures; they may not disappear at the same time as active Notatky account data.
- Stripe Sandbox customer, checkout, subscription and event references are retained only for testing, reconciliation and deletion verification. Live financial records will follow the accounting and legal schedule approved before paid launch.
- Temporary processing files are intended to be removed when the request ends. Provider backups and logs expire under the provider's controlled procedures; deletion from an active store may not remove every backup immediately.

Account closure requests are handled through **kotkave@gmail.com**. We will remove or de-identify data that is no longer needed, subject to documented security, fraud-prevention and legal needs.

### 6. Your choices and requests

Use the account controls to export loaded notes, delete a listed original file or delete the cloud library. Each control states its scope. Contact **kotkave@gmail.com** to request access, correction, a broader export, account closure or deletion, or to appeal a denied request. We may verify account ownership before acting.

California residents may have rights to know, correct and delete personal information and to receive equal service when exercising a protected right. Notatky does not sell or share personal information for behavioral advertising. We will explain any applicable exception or retention and provide an appeal route when required.

### 7. Age, parents and safety

Notatky does not allow registration by people under 14. If we learn that we collected personal information from a child under 13, we will restrict further collection and review deletion or legally valid authorization as required. Marketing and actual use must remain consistent with the 14+ service.

Parent Connect is optional and separate from registration. The current beta does not automatically send parent alerts and does not give parents a student's raw library or conversations. A future alert or sharing feature requires verified recipients, clear notice and a new release before it is presented as active.

### 8. Security and changes

We use account authentication, private storage rules, encrypted network transport, access controls and limited processing boundaries. No service can promise perfect security or permanent recovery. Keep original files and export important work.

We will publish material changes and require a new registration release when a change affects eligibility, providers, data use or user rights. This notice does not claim that every U.S. privacy law applies to IKONBAI, Inc.; it describes the beta's practices and the rights route we provide.

### 9. Contact

Privacy and support: **kotkave@gmail.com**<br>
IKONBAI, Inc.<br>
1841 N Fuller Ave #309<br>
Los Angeles, CA 90046, United States

## Español

**Versión `beta-2026-09-16-1` · Última actualización: 16 de septiembre de 2026.** Este aviso se aplica a la beta de Notatky para consumidores y a su prueba de planes claramente identificada como Stripe Sandbox cuando esta versión aparece durante el registro.

### 1. Operador y alcance

**IKONBAI, Inc.**, una corporación de Delaware, en 1841 N Fuller Ave #309, Los Angeles, CA 90046, Estados Unidos, opera Notatky. Escribe a **kotkave@gmail.com** para solicitudes o preguntas de privacidad. La beta es para personas de 14 años o más. Parent Connect es opcional. Este aviso no cubre un futuro servicio administrado por escuelas. El pago real sigue desactivado; cualquier cambio sustancial necesario para cobrar se publicará mediante un aviso nuevo o suplemento antes de activarlo.

### 2. Información que tratamos

- **Cuenta y elegibilidad:** email, identificador de Supabase, idioma, estado de confirmación del email, confirmación de edad 14+, versión de las Condiciones y del Aviso de Privacidad y fechas.
- **Contenido de estudio:** archivos cargados expresamente, tipo y tamaño, texto extraído, apuntes, materias y aportaciones.
- **Actividad guardada por elección:** revisiones de la biblioteca, estado de procesamiento y comentarios enviados mediante el formulario de la beta.
- **Datos de facturación Sandbox:** cuando una persona adulta autenticada abre voluntariamente Stripe Sandbox, plan elegido, estado del pago o suscripción, referencias de cliente y eventos de Stripe y vínculo entre cuenta y cliente. Notatky no recibe el número completo de una tarjeta.
- **Datos técnicos y de seguridad:** dirección IP, hora, información del navegador o dispositivo, errores y eventos de seguridad registrados por los proveedores.
- **Datos solo del dispositivo:** la biblioteca del prototipo local, tarjetas locales y borradores sin enviar pueden quedarse solo en ese navegador. Borrar sus datos puede eliminarlos.

No cargues contraseñas, identificadores oficiales, expedientes médicos, información privada de compañeros ni grabaciones sin permiso.

### 3. Para qué los usamos

Usamos esta información para confirmar acceso y elegibilidad, ofrecer la función solicitada, separar datos entre cuentas, prevenir abuso, diagnosticar fallos, responder solicitudes y revisar comentarios de la beta. Notatky no vende información personal, no la comparte para publicidad conductual entre contextos, no muestra anuncios dirigidos y no usa contenido estudiantil para entrenar un modelo de IA de propósito general.

### 4. Servicios que tratan datos

- **Supabase** proporciona autenticación por email, registros privados y almacenamiento privado de archivos.
- **Resend** entrega los emails transaccionales de autenticación de Supabase. Recibe el email del destinatario y el mensaje de autenticación, incluido el código temporal o el contenido de confirmación, y registra los eventos necesarios para entregar y diagnosticar esos mensajes. Resend no recibe archivos de estudio ni apuntes mediante esta conexión de email. Su [Anexo de Tratamiento de Datos](https://resend.com/static/documents/resend-dpa-signed.pdf) y su [Política de Privacidad](https://resend.com/legal/privacy-policy) describen sus condiciones y procedimientos como proveedor.
- **OpenAI**: OpenAI procesa el fragmento elegido, el título del apunte, la etiqueta de la fuente y el resultado generado cuando solicitas tarjetas con IA o la explicación de un fragmento guardado. Crea ese resultado y comprueba la seguridad de la entrada y la salida. No enviamos tu email, identificador o token de cuenta, biblioteca completa ni archivo original mediante esta conexión. El fragmento puede contener información personal; usa material de estudio no sensible.
- **Railway** aloja el sitio web y el servicio privado de procesamiento.
- **GitHub** almacena el código de la aplicación; no es un destino para archivos o apuntes de estudiantes.
- **Stripe** proporciona el pago y portal claramente identificados como Sandbox para probar Starter y Plus. Stripe recibe el email de la persona adulta, el plan y los identificadores de facturación. Sandbox no hace cobros reales. El pago real exige una decisión de lanzamiento y condiciones de suscripción coincidentes.

Cuando el procesamiento de la cuenta aparece disponible, Notatky envía el archivo privado seleccionado al servicio de Railway para extraer texto compatible. El sistema está diseñado para borrar los archivos temporales al terminar la solicitud. Una interrupción inesperada puede retrasar esa limpieza hasta que se sustituya el entorno aislado. El archivo original permanece en Supabase hasta que el usuario lo elimine.

Por defecto, el contenido de la API de OpenAI no se usa para entrenar modelos. Solicitamos no guardar el historial de respuestas (store: false). Los registros de prevención de abuso pueden contener entradas y respuestas, normalmente hasta 30 días con excepciones legales o de seguridad; la caché puede durar hasta 24 horas. No es retención cero. [Controles de datos de OpenAI](https://developers.openai.com/api/docs/guides/your-data).

El chat de IA en la nube y la transcripción de audio alojada no están incluidos en esta versión. Activar otro proveedor de IA, voz, analítica o publicidad exige revisar al proveedor y, si cambia sustancialmente el uso, publicar un aviso y una versión de registro nuevos.

Podemos comunicar la información mínima necesaria a un proveedor que actúe bajo nuestras instrucciones, para responder a una obligación legal válida o atender un problema grave de seguridad. Parent Connect no comunica automáticamente archivos, apuntes o conversaciones del estudiante.

### 5. Conservación

- Los registros de cuenta, elegibilidad y estudio activo se conservan mientras la cuenta participa en la beta.
- Un archivo o biblioteca eliminados se retiran del almacenamiento activo visible cuando el servicio confirma la eliminación. Las descargas y copias del dispositivo no cambian.
- Los comentarios de la beta se conservan hasta 12 meses, salvo que hagan falta para resolver un problema de seguridad, privacidad o legal.
- Los comprobantes de aceptación y retirada pueden conservarse hasta tres años después de terminar la relación beta.
- El contador de IA guarda un hash del identificador de cuenta, hora, tokens, coste estimado e identificadores de respuesta del proveedor. No guarda texto de estudio. Los límites mensuales persisten tras reinicios; los registros anteriores siguen el objetivo de 90 días descrito abajo.
- Los registros de seguridad y diagnóstico controlados por Notatky se limitan a lo necesario, con un objetivo máximo de 90 días salvo un incidente u obligación concreta. Los registros de entrega de autenticación conservados por Supabase y Resend expiran según sus procedimientos; pueden no desaparecer al mismo tiempo que los datos activos de la cuenta de Notatky.
- Los clientes, pagos, suscripciones y eventos de Stripe Sandbox se conservan solo para probar, conciliar y verificar la eliminación. Los registros financieros reales seguirán el calendario contable y legal aprobado antes del lanzamiento de pago.
- Los archivos temporales de procesamiento deben borrarse al terminar la solicitud. Las copias de respaldo y registros del proveedor expiran según sus procedimientos controlados; eliminar el almacenamiento activo puede no borrar inmediatamente cada copia.

Las solicitudes de cierre se atienden mediante **kotkave@gmail.com**. Eliminaremos o desidentificaremos los datos que ya no sean necesarios, salvo necesidades documentadas de seguridad, prevención de fraude o cumplimiento legal.

### 6. Elecciones y solicitudes

Usa los controles de la cuenta para exportar apuntes cargados, eliminar un archivo original de la lista o borrar la biblioteca de la nube. Cada control indica su alcance. Escribe a **kotkave@gmail.com** para solicitar acceso, corrección, una exportación más amplia, cierre o eliminación, o para apelar una negativa. Podemos verificar la titularidad de la cuenta.

Los residentes de California pueden tener derechos a conocer, corregir y eliminar información personal y a recibir el mismo servicio al ejercer un derecho protegido. Notatky no vende ni comparte información personal para publicidad conductual. Explicaremos cualquier excepción o conservación aplicable y ofreceremos apelación cuando corresponda.

### 7. Edad, padres y seguridad

Notatky no permite registrarse a menores de 14 años. Si sabemos que recogimos información personal de un menor de 13 años, restringiremos la recogida adicional y revisaremos la eliminación o una autorización legalmente válida según corresponda. La publicidad y el uso real deben seguir siendo coherentes con el servicio 14+.

Parent Connect es opcional y separado del registro. La beta actual no envía automáticamente alertas a padres ni les da acceso a la biblioteca o conversaciones completas. Una futura alerta o función para compartir exige destinatarios verificados, aviso claro y una nueva versión antes de presentarse como activa.

### 8. Seguridad y cambios

Usamos autenticación, reglas de almacenamiento privado, transporte de red cifrado, controles de acceso y límites de procesamiento. Ningún servicio puede prometer seguridad perfecta ni recuperación permanente. Conserva los originales y exporta el trabajo importante.

Publicaremos cambios importantes y exigiremos una nueva versión de registro cuando afecten a la elegibilidad, proveedores, uso de datos o derechos. Este aviso no afirma que todas las leyes de privacidad de Estados Unidos se apliquen a IKONBAI, Inc.; describe las prácticas de la beta y la vía de derechos ofrecida.

### 9. Contacto

Privacidad y soporte: **kotkave@gmail.com**<br>
IKONBAI, Inc.<br>
1841 N Fuller Ave #309<br>
Los Angeles, CA 90046, Estados Unidos