ScaFix
Privacyverklaring van ScaFix
Bijgewerkt op 9 oktober 2026
This Privacy Policy explains what information ScaFix may process when you use the app or visit scafix.app and the choices available to you.
Webapp, account, projectopslag en betalingen
Account, Basic-toegang en webprojecten
Wanneer u ingelogd de webapp gebruikt, verwerken Firebase Authentication en Cloud Firestore uw account-ID, inloggegevens, projectinhoud, maten, instellingen, webvoorraad en toegangsstatus. Uw account, betaalde toegang en ingelogde projecten met maten en instellingen worden tussen web en iOS gesynchroniseerd wanneer u hetzelfde ScaFix-account gebruikt. De webvoorraad wordt niet naar iOS gesynchroniseerd. Google verwerkt deze gegevens namens ScaFix.
Webanalyse en marketing
Google Analytics wordt pas geladen nadat u toestemming geeft voor Analyse. Het meet paginaweergaven en ScaFix-acties, zoals het starten van de demo, registratie, afrekenen en klikken naar de App Store. Voor ingelogde gebruikers kan het de ondoorzichtige Firebase-gebruikers-ID ontvangen, maar geen naam of e-mailadres. Meta Pixel wordt pas geladen na toestemming voor Marketing en meet paginaweergaven en dezelfde acties, samen met browser- en apparaatgegevens, IP-adres, pagina-URL en Meta-cookies of identificatoren. De Meta Pixel gebruikt ook Meta’s automatische geavanceerde matching: wanneer u contactgegevens in een formulier op de website invult, bijvoorbeeld uw e-mailadres bij registratie, kan de Pixel deze lezen, in de browser omzetten in SHA-256-hashes en die hashes naar Meta sturen – ook voordat het formulier is verzonden – zodat Meta de gebeurtenissen aan een Meta-account kan koppelen. De webapp laadt geen TikTok- of Snap-pixels of advertentie-SDK's. Met toestemming voor Marketing worden de eerste en laatste geldige campagnelabels bewaard in de sessieopslag van het tabblad. Klik-ID's blijven gescheiden van het campagneoverzicht van uw account. Bij registratie en afrekenen kunnen openbare campagnenamen en bronnen aan uw ScaFix-account in Firebase worden gekoppeld en naar Stripe Checkout- en abonnementsmetadata worden gekopieerd. Zo worden registraties, proefperiodes, aankopen en opzeggingen gekoppeld. Operationele meldingen aan de eigenaar via Telegram, Pushover en e-mail kunnen platform, campagne en betaalstatus tonen, zonder klik-ID's, volledige pagina-URL's of contactgegevens. Een ontbrekende bron blijft onbekend, niet organisch. Intrekken van toestemming verwijdert browsergegevens en, na ingelogde synchronisatie, het actuele campagnerecord en stopt nieuw gebruik. Historische gebeurtenissen en Stripe-metadata kunnen bij transactierecords blijven. Accountverwijdering verwijdert het privé-campagnerecord. Zonder enige toestemming bewaart ScaFix bij de registratie alleen via welke van zijn eigen startpagina’s en knoppen het account is aangemaakt, en of de link een campagnelabel had (niet de campagnenaam), bij het account in Firebase; dit wordt samen met het account verwijderd. Wanneer een ingelogd account de abonnementenpagina voor het eerst opent direct na de drie vragen van de gids, bewaart ScaFix ook dat moment bij het account in Firebase, met de startpagina, het antwoord in de gids en het voorgestelde abonnement (niet de campagnenaam), en telt het één op bij een dagelijkse telling per land en startpagina die geen account-ID bevat. Dit gebeurt zonder toestemming; de registratie wordt samen met het account verwijderd en de dagelijkse telling is anoniem. Alleen met toestemming voor Marketing stuurt de server van ScaFix Meta ook twee stappen van de route: de voltooide registratie, één keer per account, en elk bezoek aan de abonnementenpagina, ook zonder account maar nooit voor een account dat al een actief abonnement heeft. Elke stap bevat een gebeurtenis-ID die met de Meta-pixel wordt gedeeld zodat Meta de stap één keer telt, het IP-adres en de browser, het geschatte land, de Meta-identificatoren _fbp/_fbc, voor een ingelogd account een met SHA-256 gehasht e-mailadres en gebruikers-ID (en naam, als het account die heeft) en voor de abonnementenpagina de startpagina, het antwoord in de gids en het gekozen abonnement. Deze stappen hebben geen aankoopwaarde, en zonder deze toestemming wordt niets naar Meta verzonden. Projectinhoud, maten, afbeeldingen en kaartgegevens staan niet in deze overzichten.
Meta-meting via tracking.scafix.app (Birch)
Met toestemming voor Marketing kan ScaFix metingen ook via een meetserver op ons subdomein tracking.scafix.app naar Meta sturen. Die ontvangt kopieën van dezelfde gebeurtenissen en gegevens die de Meta Pixel meet zoals hierboven beschreven – bijvoorbeeld paginaweergaven, registratie, bezoeken aan de abonnementenpagina en het starten van het afrekenen – en stuurt ze van server naar server door naar Meta. Elke gebeurtenis heeft dezelfde gebeurtenis-ID als in de Meta Pixel, zodat Meta haar één keer telt. De meetserver wordt beheerd door Birch (bir.ch) als onze verwerker en draait in de EU (Frankfurt). Birch verwerkt deze gegevens alleen volgens onze instructies; wanneer Birch subverwerkers buiten de EER inschakelt, berust de doorgifte op de modelcontractbepalingen van de EU.
Het meetscript gebruikt ook de automatische matching van Birch. Wanneer u op een knop klikt, kan het script contactgegevens lezen die u in formuliervelden op de pagina hebt ingevuld – e-mail, naam, telefoonnummer, geslacht, geboortedatum, plaats, regio, postcode, land en gebruikers-ID – ook als het formulier nooit wordt verzonden, en ze naar de meetserver sturen in een eigen gebeurtenis (InputData) en met latere gebeurtenissen zolang de pagina open is. Het script verstuurt deze gegevens ongehasht, alleen genormaliseerd (bijvoorbeeld in kleine letters), via een versleutelde verbinding. Meta accepteert zulke contactgegevens alleen als SHA-256-hashes; ze worden daarom omgezet in hashes voordat de meetserver ze naar Meta doorstuurt, dat ze gebruikt om de gebeurtenissen aan een Meta-account te koppelen. Birch verwerkt ze alleen als onze verwerker, zoals hierboven beschreven. Dit gebeurt alleen nadat u toestemming voor Marketing hebt gegeven – nooit eerder, en niet meer nadat u die toestemming hebt ingetrokken.
Het meetscript wordt geladen vanaf tracking.scafix.app en plaatst de first-party cookie _cbp op scafix.app. Die bevat een willekeurige browser-ID (of dezelfde waarde als Meta’s cookie _fbp als die al bestaat), zodat gebeurtenissen uit dezelfde browser aan elkaar en aan advertenties kunnen worden gekoppeld. De cookie blijft 90 dagen geldig en wordt bij latere bezoeken vernieuwd. Komt u via een Meta-advertentie met de klik-ID (fbclid), dan kan de cookie _cbc die klik-ID ook 90 dagen bewaren. Omdat tracking.scafix.app deel uitmaakt van het domein scafix.app, stuurt de browser ook de cookies mee die voor het hele domein zijn geplaatst, bijvoorbeeld Meta’s cookies _fbp en _fbc en, als u toestemming voor Analyse hebt gegeven, de analysecookies.
Zonder toestemming voor Marketing worden dit script en de Meta Pixel niet geladen en wordt niets naar tracking.scafix.app verzonden. U kunt uw toestemming altijd intrekken via ‘Privacyinstellingen’ op de website; daarna stoppen nieuwe meetverzoeken via de meetserver. De cookies _cbp en _cbc kunnen blijven bestaan totdat u ze verwijdert of ze verlopen.
Meting van afgeronde aankopen
Als Marketing was toegestaan bij het starten van Stripe Checkout, kan ScaFix na een door de server bevestigde aankoop een Purchase-gebeurtenis naar Meta sturen met aankoopwaarde, valuta, een stabiele Stripe-ID, een met SHA-256 gehasht e-mailadres en eventuele Meta-ID's _fbp/_fbc. Het e-mailadres wordt niet als leesbare tekst verstuurd en de gebeurtenis wordt niet zonder deze toestemming verstuurd.
Als Analyse was toegestaan bij het starten van Stripe Checkout, kan ScaFix na een door de server bevestigde aankoop een Purchase-gebeurtenis naar Google Analytics 4 sturen met aankoopwaarde exclusief belasting, valuta, de Checkout Session-ID als transactie-ID, de ondoorzichtige Firebase-gebruikers-ID en de client- en sessiecookies van Google Analytics. Advertentiegebruik en advertentiepersonalisatie blijven geweigerd. Zonder deze toestemming wordt de gebeurtenis niet verstuurd.
Voor een ingelogde gebruiker bewaart ScaFix de huidige keuzes voor Analyse en Marketing, een willekeurige revisie en het wijzigingstijdstip in Firebase. Bij het starten van Checkout kunnen de revisie en alleen de toegestane identificatoren voor aankoopmeting — Google Analytics-client-/sessiecookies en/of Meta _fbp/_fbc — naar de metadata van de Stripe Checkout Session worden gekopieerd. Deze metadata kan op een verlaten sessie blijven staan. Ze wordt alleen gebruikt om de actuele toestemming bij ontvangst van de webhook te controleren en een bevestigde aankoop te meten; ze wordt niet naar het terugkerende abonnement gekopieerd. Elke wijziging van een keuze vernieuwt de revisie, zodat een oudere sessie geen nieuwe gebeurtenis kan toestaan. Deze meetmetadata bevat geen project- of betaalkaartgegevens.
De metadata van Stripe Checkout vermeldt ook welke optionele categorieën bij het starten van Checkout waren toegestaan.
Betalingen en toegang
Stripe verwerkt webabonnementen en ontvangt de factuur- en betaalgegevens die nodig zijn om de aankoop af te ronden en te beheren. ScaFix bewaart geen volledige betaalkaartnummers. Apple blijft App Store-aankopen verwerken. ScaFix verwerkt aanbieder-, klant-, abonnement- en transactie-ID's en de abonnementsstatus om beide aankooptypen aan hetzelfde ingelogde ScaFix-account te koppelen.
Uw keuzes
U kunt webprojecten en uw ScaFix-account verwijderen. Beheer actieve abonnementen bij de betaalprovider. Accountverwijdering start ook de opzegging van webabonnementen via Stripe; App Store-abonnementen moeten afzonderlijk bij Apple worden opgezegd. Accountverwijdering geeft niet automatisch recht op een terugbetaling. Aankoop- en abonnementshistorie kan zonder accountkoppeling worden bewaard wanneer dit nodig is voor boekhouding, veiligheid en wettelijke administratie. Mail naar support@scafix.app voor inzage in of verwijdering van andere servergegevens.
Tellingen op landingspagina's en start van het afrekenen
Zonder toestemming telt ScaFix gebeurtenissen op zijn openbare landingspagina’s, waaronder de voorpagina, /start, /ultra, /ultimate en hulppagina’s, als totalen per dag en UTC-uur. Dit omvat weergaven en verdere navigatie, interactie, het laden en gebruiken van 3D, zichtbare voorbeeld-, onderdelenlijst-, document- en abonnementssecties, document- en aankoopklikken, de keuze voor een account- of betaalroute, pogingen om Stripe Checkout te openen en een beperkte reeks foutcategorieën. Totalen worden uitgesplitst naar meetversie, ingang, taal, apparaattype, openbare advertentielabels (advertentie-ID, advertentieset-ID en utm_content) en vooraf bepaalde keuzes zoals abonnement en factureringsperiode. Hiervoor worden geen bezoekers- of apparaat-ID, cookie of apparaatopslag aangemaakt. Telgegevens bevatten geen account, IP-adres, volledige user-agent, ruwe URL, vrije tekst of projectgegevens. Het IP-adres wordt alleen kort in het geheugen gebruikt om herhaalde verzoeken te beperken; het apparaattype wordt afgeleid van de user-agent. Nieuwe tellers accepteren alleen productieverkeer op ons openbare domein; bekende bots en geautomatiseerde browsers worden uitgesloten. De grondslag is ons gerechtvaardigd belang om te weten welke ingangen en stappen werken.
Om nieuwe, hergebruikte en unieke Stripe Checkout-sessies te onderscheiden, bewaart de server een intern transactiebewijs met een SHA-256-hash van de Checkout-sessie-ID. De oorspronkelijke sessie-ID wordt niet in het bewijs opgeslagen. Het voorkomt dat dezelfde Checkout dubbel wordt geteld; het identificeert geen bezoekers en volgt hen niet tussen pagina’s. Een geopende Checkout is geen voltooide start van een proefperiode of betaling.
Alleen met toestemming voor Marketing stuurt de server van ScaFix Meta ook de start van een Stripe-afrekening (InitiateCheckout) met dezelfde gebeurtenis-ID als de Meta Pixel, zodat Meta die één keer telt: voor een ingelogd account het met SHA-256 gehashte e-mailadres en de gebruikers-ID, voor een aankoop zonder account een met SHA-256 gehashte pseudonieme ID die is afgeleid van de willekeurige activatiesleutel van de aankoop, samen met IP-adres, browser, land bij benadering, de Meta-identificatoren _fbp/_fbc, het abonnement, de factureringsperiode en de landingspagina. De gebeurtenis heeft geen aankoopwaarde en zonder deze toestemming wordt niets naar Meta gestuurd.
Waar een aankoop vandaan kwam
Met toestemming voor Marketing bewaart ScaFix de eerste en laatste campagnelabels ook maximaal 30 dagen in een ondertekende cookie (scafix_attr) die alleen de server van ScaFix kan lezen, zodat een aankoop die later of in een ander tabblad wordt gedaan zijn bron behoudt. Heeft een link geen campagnelabels, dan is de bron het domein van de verwijzende website (bijvoorbeeld een zoekmachine of ChatGPT) of „direct”, nooit het volledige adres. Intrekken van de toestemming voor Marketing verwijdert de cookie; zonder toestemming leest de betaling van ScaFix hem niet.
In de iPhone-app slaat ScaFix eenmalig na registratie of inloggen bij uw account in Firebase op: de datum van de eerste start van de app, de appversie en of het AdServices-framework van Apple meldt dat de app via een Apple Ads-advertentie is geïnstalleerd (zonder advertentie-ID). Alleen met toestemming voor Marketing slaat ScaFix ook de campagne, advertentiegroep, het zoekwoord en het land van die advertentie op, de campagnegegevens van AppsFlyer voor de installatie en de campagnelabels van een ScaFix-link die de app opende. Beantwoordt u de vrijwillige vraag „Hoe hebt u over ScaFix gehoord?”, dan wordt het antwoord ook opgeslagen. Meldingen aan de eigenaar over een aankoop kunnen deze bron tonen. Het record wordt met het account verwijderd.
Eerdere aankopen vóór accountaanmaak
Dit gedeelte geldt voor eerdere webaankopen die zijn gestart voordat u een ScaFix-account maakte of inlogde. Voor het activeren bewaart ScaFix een noodzakelijke, willekeurige activatiesleutel in een HttpOnly-cookie en een serverrecord met Stripe-referenties, het gekozen abonnementsniveau, een afgeschermd e-mailadres en een SHA-256-hash van het e-mailadres. Het record bevat ook een hash van het netwerkadres om misbruik te voorkomen en, met uw toestemming, relevante campagne- en meetgegevens. ScaFix bewaart geen volledige betaalkaartgegevens.
Na de betaling gebruiken we het e-mailadres uit Stripe Checkout om uw account aan te maken of de aankoop te koppelen aan het account dat u al hebt, en sturen we u een e-mail waarin u een wachtwoord kiest. Kan de aankoop niet automatisch aan een account worden gekoppeld, dan blijft die toch actief: een proefperiode loopt door en na afloop wordt het afgesproken bedrag afgeschreven. U kunt de aankoop op elk moment activeren door in te loggen met het e-mailadres dat u in Stripe Checkout hebt gebruikt, of support om hulp vragen.
Pro
Pro-projecten, klantgegevens, bedrijfsprofiel en prijsinstellingen worden gecomprimeerd gesynchroniseerd met Firebase onder je account. De browser bewaart een lokale werkkopie. Wacht op de bevestiging van cloudopslag voordat je van apparaat wisselt; offline wijzigingen worden gesynchroniseerd zodra de verbinding terug is. Bij gelijktijdige wijzigingen kies je een versie. Je kunt afzonderlijke projectkopieën naar actieve teamleden sturen. Verwijderen wordt gesynchroniseerd tussen je apparaten, maar verwijdert geen kopieën die naar collega’s zijn gestuurd. Je kunt ook eigen back-ups downloaden.
Firebase beheert accounts, toegang, proefperioden en plaatsen; Stripe verwerkt betalingen. Kaarten gebruiken OpenStreetMap, OpenFreeMap, Overpass en relevante terreindiensten. Bij zoekopdrachten worden adressen of coördinaten verstuurd; aanbieders ontvangen technische aanvraaggegevens. Adresresultaten worden zeven dagen gecachet. Het startland gebruikt de geschatte netwerklocatie; de exacte locatie wordt alleen op uw keuze en met toestemming gebruikt. Controleer kaarten en terrein met werkelijke maten.
Noodzakelijke account-, beveiligings- en serviceberichten staan los van vrijwillige e-mailmarketing. Alleen met uw uitdrukkelijke toestemming bewaart ScaFix uw e-mailadres, taal, verificatiestatus, tijdstip van toestemming en tekstversie in een aparte Firebase-marketinglijst. U kunt toestemming intrekken in Instellingen. Intrekking of accountverwijdering verwijdert uw inschrijving.
X Ads · 2026-09-24
Met toestemming voor Marketing stuurt ScaFix bevestigde aankopen ook vanaf de server naar X Ads: bedrag, valuta, tijdstip, een pseudoniem transactie-ID, het X-klik-ID indien beschikbaar en een SHA-256-hash van het e-mailadres voor matching. Dit omvat de eerste betaling na een gratis proefperiode. Gratis proefperiodes en verlengingen worden niet als nieuwe aankopen gemeld. De actuele toestemming wordt voor elke verzending gecontroleerd. Projectinhoud en betaalkaartgegevens worden niet gedeeld. U kunt uw toestemming altijd intrekken. Er wordt geen X-browserscript geladen.
Microsoft Clarity: heatmaps en sessieopnamen
Analyse omvat ook Microsoft Clarity: klikken, scrollen en sessieopnamen op openbare pagina's, met afgeschermde inhoud.
Clarity wordt pas geladen nadat u opnieuw toestemming voor Analyse hebt gegeven met deze informatie. Formulierinhoud wordt afgeschermd; account-, project-, editor-, upload- en betaalterugkeerpagina's worden niet opgenomen. We versturen geen Firebase-gebruikers-ID's. Clarity verwerkt gebruiks- en apparaatgegevens en kan pseudonieme sessiecookies plaatsen. Advertentietoestemming voor Clarity blijft geweigerd. U kunt uw toestemming intrekken in de privacyinstellingen. De opnamen zijn geen schermvideo's van uw privétekeningen.
Vercel-analyse en prestaties
Met uw toestemming voor Analyse gebruikt ScaFix ook Vercel Web Analytics en Speed Insights. Ze verwerken anonieme, geaggregeerde paginaweergaven en technische prestatiemetingen, zoals pagina of route, verwijzer, land bij benadering, browser, apparaat, besturingssysteem, netwerktype en Core Web Vitals. Deze diensten gebruiken geen cookies en koppelen gegevens niet aan uw Firebase-gebruiker. Ze bieden geen sessieopnamen of sessieherhalingen (session replay). Web Analytics leidt een anonieme hash af van het binnenkomende verzoek en kan daarmee paginaweergaven in een kortdurende sessie groeperen en geaggregeerde statistieken zoals het bouncepercentage berekenen. De hash en sessiekoppeling worden binnen 24 uur gereset of verwijderd en worden niet gebruikt om bezoekers over dagen, websites of apps te volgen. Concrete project-ID's, projectinhoud, maten, bestandsnamen, afbeeldingen en betaalgegevens worden niet verstuurd. De verzameling stopt zodra u de toestemming voor Analyse intrekt.
Aanvullende voorwaarden voor iPhone en diensten (Engelse brontekst)
Data controller
Ole Emil Frikstad Urstad (ScaFix). Contact: support@scafix.app.
Owner-only operational notifications and App Store events
Only the verified ScaFix owner account can choose to enable private push notifications about new account registrations, trials, purchases and trial conversions. Regular users are not registered for these notifications and are not shown this notification-permission request.
When the owner enables notifications, ScaFix and Firebase Cloud Messaging process a Firebase Installation ID (FID), its association with the device’s Apple Push Notification service (APNs) token, and related registration data to route and deliver the notifications. Turning the feature off removes the device from ScaFix’s recipient list and unregisters it from FCM.
For a purchase made from a Firebase-authenticated app session, ScaFix may issue a stable, randomly generated appAccountToken, link it on the server to the Firebase user ID (UID), and pass the token to StoreKit. This lets ScaFix associate relevant purchase and subscription events with the account. The token is not a payment credential and contains no payment information.
ScaFix receives and verifies signed App Store Server Notifications v2 from Apple and processes relevant purchase and subscription event data, such as notification and event type, transaction and original-transaction identifiers, product identifier, environment, signed date and appAccountToken. This processing is used to detect events including a new subscription, a free trial and its paid conversion, prevent duplicate handling, and create an owner alert where applicable. Apple handles the payment.
The push-notification text states only the type of operational event. It does not contain the customer’s name, email address, Firebase UID, appAccountToken, transaction identifiers, payment or card details, receipt contents, project content, measurements or images. These operational-notification data are not used for advertising.
What we collect
1) Account and sign-in
If you choose to sign in, ScaFix uses Firebase Authentication for Apple, Google and email sign-in. This may include a user ID, email, display name and sign-in method. For Google sign-in, Google Sign-In may also process an account identifier, name, email and technical sign-in data.
2) Usage analytics
Usage analytics is on by default. Firebase Analytics receives app opens, session and lifecycle data, number of projects, scaffold systems used, and other feature usage.
Firebase Analytics may also receive purchase and subscription events, such as product ID and status, but never payment-card information.
When both optional usage analytics and ad measurement are enabled, Firebase Analytics purchase and subscription events may be linked to or imported into Google Ads for attribution, conversion measurement and ad optimization. Payment-card data, Firebase Authentication/Firestore account data and project content are not transferred to Google Ads.
Usage analytics can be turned off at any time in Settings → Privacy. This does not affect app functionality.
Advertising measurement and tracking
ScaFix processes information to provide the app and uses Firebase for usage analytics that can be turned off in Settings. On first use, Apple’s ATT prompt is the only advertising-measurement choice. Meta and TikTok start direct tracking only when you choose Allow. AppsFlyer can use Apple’s privacy-preserving measurement without IDFA/IDFV only if you later enable advertising measurement in Settings. Snapchat is measured only through AppsFlyer; the app has no direct Snap SDK.
When advertising measurement remains enabled in ScaFix and ATT permission is granted, Meta Platforms Ireland Limited, TikTok Technology Limited and AppsFlyer Ltd. may receive install, app-open, session or retention data, technical app and device information, an approximate IP-based location, installation ID/IDFV and IDFA.
When ad measurement is active, one purchase event may be sent to AppsFlyer for each eligible, verified, paid production charge — initial purchase or renewal — with product ID, actual price, currency, quantity and StoreKit transaction/order ID. Payment-card data, receipt contents and bank details are never shared. AppsFlyer may forward configured postbacks to Meta, TikTok and Snap. Meta and TikTok receive no purchase events directly from the app, and the app has no direct Snap SDK.
If ATT is denied or restricted, direct tracking and IDFA/IDFV are off. AppsFlyer’s privacy-preserving SKAdNetwork/AdAttributionKit can be used only if you later enable advertising measurement in Settings; no device-level data is then shared with advertising partners.
TikTok Enhanced Data Postback and automatic purchase tracking are disabled. We never send project content, measurements, scans, images, names, email addresses or phone numbers to the advertising partners. Apple may send privacy-preserving SKAdNetwork/AdAttributionKit postback copies to AppsFlyer. These Apple postbacks do not contain IDFA or contact information.
5) Meta ad measurement and tracking
Meta SDK tracking applies only to an App Store version of ScaFix that includes the SDK. No Meta SDK tracking occurs before such a version has been published and installed. When a version containing the SDK is used, tracking starts and continues only while you grant permission through Apple’s App Tracking Transparency (ATT) prompt and advertising measurement remains enabled in ScaFix under Settings → Privacy.
- Meta may receive information about installs and app activations, device and app identifiers (including IDFA where available), IP address, and technical app and device data.
- Meta may also receive SDK-generated session and lifecycle data, including activation and deactivation, session duration, time between sessions, and interruptions when the app moves between foreground and background.
- Meta may use the information for attribution, reporting and ad improvement, and link it with data from other apps, websites or services.
- Automatic logging of other app events is disabled. Meta’s activation measurement nevertheless records the activation and deactivation events and session data described above. Projects, measurements, images, names and email addresses are not sent to Meta through this integration.
ScaFix works without this permission. You can change your choice later in iOS Settings for ScaFix.
What data is not used for
- No third-party ads are shown in the app
- No sale of project or usage data
Projects, PDF import, camera and account logo
Drafts you create while signed out are stored only locally in that browser or on the device. When you are signed in, projects, wall measurements, project settings and your account logo are stored and synchronized through Firebase Cloud Firestore and Cloud Storage so the content is available on the web and iPhone. The imported source PDF itself is processed in memory and is not uploaded; derived project geometry that you save in the project may be synchronized like other project data. Camera, photo and LiDAR access is used only when you start a feature that requires it. An uploaded account logo is stored in the cloud until you replace it or delete the account.
Sharing and processors
Firebase (Google Ireland Limited), including Cloud Firestore and Cloud Storage, processes account data, synchronized projects, wall measurements, project settings and account logos, as well as server-verified subscription and transaction data, operational notifications, optional usage analytics, and technical security/SDK data on our behalf. Apple processes purchases, App Store Server Notifications, APNs delivery and App Attest certifications.
For security, Firebase App Check uses Apple App Attest. Firebase processes cryptographic attestation and assertion objects, short-lived App Check tokens, and basic app and technical information to verify that requests come from an authentic ScaFix installation and protect Firebase and ScaFix backend services against abuse. On signed-in backend requests, the App Check token is sent with the Firebase authentication token. ScaFix does not store App Check tokens or attestation material in its own application database, and these data are not used for advertising.
AppsFlyer Ltd. may process privacy-preserving Apple measurement data when advertising measurement is enabled and device data when both advertising measurement remains enabled in ScaFix and ATT is allowed. Meta Platforms Ireland Limited and TikTok Technology Limited process direct advertising-measurement data only under the same two conditions. Snap Inc. may receive campaign postbacks through AppsFlyer; the app contains no Snap SDK.
Firebase usage analytics, project content and ScaFix account data are not shared with Meta, TikTok, AppsFlyer or Snap.
Apple, Google and the advertising-measurement providers may process data outside the EEA under valid transfer mechanisms, including the European Commission’s Standard Contractual Clauses (SCCs) where applicable.
Your choices and deletion
You can change analytics consent under Settings → Privacy. Advertising measurement can be turned off in ScaFix under Settings → Privacy; in an app version that includes the Meta SDK, Meta tracking can also be declined in Apple’s prompt and changed later in iOS Settings for ScaFix. You can delete your sign-in account directly in the app under Settings → Account → Delete Account. Local app data, synchronized cloud projects, project settings and account-logo/branding data are then deleted. Contact support@scafix.app to request access to or deletion of any other server records associated with you.
Changes
For material changes, we will update the date at the top of this page.
AppsFlyer OneLink · 2026-09-08
With Marketing consent, the App Store button uses AppsFlyer OneLink to measure the path from an ad to the app. AppsFlyer receives campaign/ad identifiers, a Meta click identifier when present, and connection/device information when you click. Matching later installs or purchases depends on iOS consent and available signals; a click is not a purchase. Without consent, the button goes directly to Apple.