מדיניות פרטיות

עודכן לאחרונה: 21.10.2026 · גרסה 2026-10-19

1. מי אנחנו ומה זה otto

otto הוא יישום לניהול עבודה אישית ל-Mac ול-iPhone ("השירות"): משימות, פגישות שמוקלטות, מתומללות ומסוכמות, מסמכים, אנשים והחלטות. השירות מופעל על ידי צוות otto ("אנחנו"). מדיניות זו מסבירה איזה מידע נאסף, למה הוא משמש, לאן הוא נשלח, כמה זמן הוא נשמר, ואיך מוחקים או מייצאים אותו.

המדיניות חלה על otto בענן, שאליו האפליקציה מתחברת. אם חיברת את האפליקציה לשרת פרטי, המידע נשמר בשרת הזה, באחריות מי שמפעיל אותו.

השימוש בשירות מהווה הסכמה למדיניות זו. ההסכמה, יחד עם אישור שמלאו לך 16, נרשמת בהתחברות הראשונה, עם גרסת המסמכים והתאריך. לעיבוד AI יש הסכמה נפרדת, במסך משלה (סעיף 6.1).

2. מה נאסף

2.1 פרטי החשבון

• התחברות עם Apple: המזהה ש-Apple מוסרת, כתובת הדוא"ל שלך (או כתובת ש-Apple יוצרת ומעבירה אליך, אם בחרת להסתיר את שלך) והשם, אם בחרת למסור אותו. אין לנו סיסמה שלך.
• המכשירים שלך: אסימון ההתראות ש-Apple נותנת לכל מכשיר, כדי לשלוח אליו תזכורות והתראות.
• ההסכמות שלך: הגרסה והתאריך של המסמכים שאישרת, האישור שמלאו לך 16, וההסכמה לעיבוד AI.

2.2 התוכן שאתה יוצר

• פרויקטים, משימות, מסמכים, אנשים, החלטות, תזכורות וההגדרות שלך.
• הקלטות פגישות שאתה מתחיל בעצמך, התמלולים שלהן והסיכומים שמופקים מהן.
• מפת העבודה ושיחת ההרשמה: מה שסיפרת ל-otto על העבודה שלך, בכתב או בהקלטה קולית קצרה, והמבנה שנבנה ממנו.
• הזיכרון: מה ש-otto למד על העבודה שלך ועל איך שאתה עובד. אפשר לראות ולערוך אותו, להשהות את הלכידה או לאפס אותו, בהגדרות ← זיכרון.
• מה שה-AI של otto עושה בשבילך: השיחות עם המוסכניק, וההצעות והשינויים של הגנן ושל האוטומציות.
• קבצים שאתה מצרף (תמונות, PDF, מסמכי Office).

2.3 נתוני שימוש

• אירועים מתוך רשימה קבועה, כמו "יצר משימה", "הקליט פגישה" או "סיים הרשמה". לכל אירוע יש רק ערכים קבועים: בחירה מתוך רשימה, מספר, או כן ולא. אין בהם תוכן: לא כותרות, לא טקסט ולא תמלולים.
• אפשר לכבות אותם בהגדרות ← פרטיות ומידע ← נתוני שימוש, ואז אירועים כאלה לא נרשמים.

2.4 משוב

• טופס המשוב: סוג המשוב, מה שכתבת, המסך והגרסה. צילום של המסך מצורף רק אם השארת אותו: אתה רואה אותו לפני השליחה ויכול להסיר אותו.
• דירוג של תוצרי AI (👍 או 👎, ומשפט אם הוספת) על סיכומי פגישות ועל תשובות המוסכניק.
• תשובות לשתי שאלות קצרות, בסוף ההרשמה ואחרי הסיכום הראשון. אפשר לדלג.

3. הקלטות

• הקלטה מתחילה רק בלחיצה שלך. לפני ההקלטה הראשונה האפליקציה מזכירה לבקש את הסכמת המשתתפים.
• האחריות לקבל את הסכמת המשתתפים להקלטה, לתמלול ולעיבוד — שלך. otto הוא כלי; הוא לא צד לשיחה.
• ההקלטה משמשת לעיבוד בלבד. היא נשלחת לשרת ומתומללת אצל ספק תמלול חיצוני. הספק מקבל את השמע כפי שהוקלט, וכל בקשה נשלחת אליו עם סירוב לתוכנית שיפור המודלים שלו. את התמלול מסכם ה-AI של otto, אם הסכמת לו (סעיף 6.1). התמלול אינו חלק מה-AI של otto: הוא נמשך גם כשה-AI כבוי או לפני שהסכמת לו, ואז מקבלים את התמלול בלי סיכום.
• השמע לא חוזר אליך. אתה מקבל את התמלול ואת הסיכום. את קובץ השמע אי אפשר להשמיע או להוריד, והוא לא נכלל בייצוא ולא זמין ל-AI שחיברת.
• כמה זמן הוא נשמר: קובץ השמע נשמר באחסון בענן רק לצורך העיבוד, ונמחק 48 שעות אחרי שהעיבוד הצליח. אם העיבוד נכשל, הקובץ נשמר עד שהעיבוד מצליח, ולכל היותר 7 ימים. בנוסף, כלל באחסון מוחק כל קובץ באזור ההקלטות אחרי 9 ימים לכל המאוחר.
• התמלול והסיכום נשמרים בחשבונך עד שתמחק אותם או את החשבון.
• הקלטה קולית בהרשמה ("ספר בקול"): מתומללת אצל אותו ספק חיצוני, והטקסט נכנס לשיחה. קובץ השמע נמחק מיד אחרי שהתמלול הצליח, ואם התמלול נכשל, תוך 7 ימים לכל היותר.

4. מידע על אנשים אחרים

ב-otto אפשר לשמור מידע על אנשים אחרים: אנשי צוות, לקוחות, תלמידים, משתתפים בפגישות. זה כולל שמות, תפקידים, פרטי קשר, הערות, ומה שנאמר בהקלטות ובתמלולים.

• האחריות למידע הזה שלך. שמור רק מה שמותר לך לשמור, ובמידה הנדרשת לעבודה. אם הדין מחייב הסכמה או יידוע של האנשים, הדאגה לכך עליך.
• איך הוא מעובד: בדיוק כמו התוכן שלך. הוא נשמר בחשבונך, מופרד ממשתמשים אחרים, ועשוי להישלח לספקים שבסעיף 6 כשאתה מקליט או כשה-AI של otto פועל. לפני שליחה ל-AI, השמות שלהם מוחלפים בכינוי ופרטי הקשר שלהם מוסרים. בהקלטה שנשלחת לתמלול אין הסרה כזו.
• בקשה של אדם כזה לעיין במידע עליו, לתקן או למחוק אותו מופנית אליך. אפשר לערוך ולמחוק כל פריט מתוך האפליקציה.

5. למה משתמשים במידע

• כדי לספק את השירות: לשמור, לסנכרן בין המכשירים שלך, לתמלל, לסכם, להזכיר, להפעיל את ה-AI של otto אם הסכמת לו, ולענות לפניות שלך.
• כדי לאבטח, לתחזק ולתקן תקלות.
• כדי לשפר את האיכות של otto ואת חוויית השימוש בו. לשם כך אנחנו נעזרים במידע על אופן השימוש ב-otto, בלי התוכן שלך (סעיף 2.3), ובמשוב ששלחת. אנחנו לא משתמשים בהם לשום מטרה אחרת.
• כדי לעמוד בדרישות הדין.

איננו מוכרים מידע, איננו משתמשים בו לפרסום ואיננו משתמשים בעוגיות פרסום. איננו מאמנים מודלים על התוכן שלך.

6. איפה המידע נמצא ומי מקבל אותו

המידע שלך נשמר באיחוד האירופי: מסד הנתונים בגרמניה, השרת באירלנד, והקבצים באיחוד האירופי. לצורך תמלול, סיכום וה-AI של otto, תוכן נשלח לעיבוד אצל ספקים חיצוניים, בעיקר בארצות הברית. ההתחברות וההתראות עוברות דרך Apple.

אלה הספקים שמקבלים מידע שלך, לפי התפקיד של כל אחד:

• מסד הנתונים וחשבון ההתחברות: Supabase, בגרמניה. כל הרשומות שלך, וחשבון ההתחברות עם כתובת הדוא"ל.
• השרת: Heroku, באירלנד. השרת שמריץ את otto ומטפל בכל בקשה מהאפליקציה.
• אחסון קבצים: Cloudflare, באיחוד האירופי. קבצים שצירפת, הקלטות עד שהן נמחקות, וצילומי מסך מהמשוב.
• תמלול: ספק תמלול חיצוני. מקבל את השמע של ההקלטות ושל ההקלטה הקולית בהרשמה (סעיף 3).
• עיבוד AI: אצל Anthropic, ודרך OpenRouter גם אצל ספקים נוספים שלא שומרים את המידע. הם מקבלים את התוכן הרלוונטי לכל בקשה, אחרי הסרת פרטים מזהים, ורק אם הסכמת (סעיף 6.1).
• התחברות והתראות: Apple, שמאמתת את זהותך בהתחברות. תזכורות והתראות נשלחות דרך שירות ההתראות של Apple, עם הכותרת והטקסט שלהן.
• בזמן הבטא: משוב ודוחות קריסה שנשלחים דרך TestFlight מגיעים אלינו דרך Apple, לפי ההגדרות שלך שם.

כשאתה מוסיף קישור או תמונה מכתובת באינטרנט, האפליקציה טוענת את התצוגה המקדימה ישירות מאותו אתר. האתר מקבל בקשה רגילה מהמכשיר שלך, ושום מידע אחר מ-otto.

חלק מהספקים הם חברות אמריקאיות, גם כשהמידע נשמר אצלם באיחוד האירופי. העברת המידע נעשית לפי הדין החל ובכפוף להסכמתך. מעבר לספקים, נחשוף מידע רק אם נידרש לכך על פי דין או צו, או כדי להגן על זכויותינו ועל המשתמשים.

6.1 עיבוד AI

לפני הפעולה הראשונה של ה-AI של otto, האפליקציה מציגה מסך הסכמה, ובו כתוב:

כדי לעזור לך, otto שולח את התוכן הרלוונטי לעיבוד אצל Anthropic, ודרך OpenRouter גם אצל ספקים נוספים שלא שומרים את המידע. המידע לא משמש לאימון מודלים. לפני השליחה, otto מסיר מהטקסט פרטים מזהים ומחליף שמות של אנשים בכינוי. אפשר לכבות את זה בכל רגע בהגדרות.

• רק בהסכמה: ה-AI של otto פועל רק אחרי שהסכמת במסך הזה. ההסכמה נשמרת עם התאריך והגרסה של הטקסט, ואם הטקסט משתנה, המסך מופיע שוב לאישור. אם לא הסכמת, otto עובד בלי AI, ומציע את המסך שוב רק כשתבקש פעולה של AI.
• ביטול: כיבוי ה-AI בהגדרות (הגדרות ← AI ← ה-AI של otto) מבטל את ההסכמה. מאותו רגע שום תוכן לא נשלח לעיבוד AI, גם לא מעבודות שרצות ברקע, וכל מה שלא דורש AI ממשיך לעבוד.
• חיפוש לפי משמעות: כדי למצוא דברים לפי המשמעות שלהם ולא רק לפי המילים, otto שולח קטעים מהתוכן שלך לאותם ספקים, שמחזירים ייצוג מספרי שלהם (embeddings). גם זה קורה רק בהסכמה, אחרי אותה הסרה של פרטים מזהים, ולא קורה כשה-AI כבוי. בלי הסכמה, החיפוש עובד לפי מילים.
• מה מוסר: מספרי טלפון, כתובות דוא"ל, מספרי זהות, ומספרים של כרטיסי אשראי ושל חשבונות בנק. שמות של אנשים שמופיעים ב-otto, וגם השם שלך, מוחלפים בכינוי, והשם חוזר רק בתשובה שמגיעה אליך. הקישור בין כינוי לשם נשמר רק בזיכרון, בזמן הבקשה. ההסרה חלה על הטקסט שנשלח לעיבוד AI, ולא על השמע שנשלח לתמלול (סעיף 3).

6.2 חיבור ה-AI שלך (MCP)

אפשר לחבר ל-otto שירות AI חיצוני שלך, כמו Claude או ChatGPT, בהגדרות ← חיבורים ← חבר את ה-AI שלך. החיבור נעשה רק באישור שלך באפליקציה, או במפתח אישי שיצרת בה, ברמה שבחרת: קריאה וכתיבה, או קריאה בלבד. אפשר גם להגדיר לכל פרויקט גישה מלאה, קריאה בלבד או הסתרה.

• השירות שחיברת מקבל מ-otto רק את מה שהוא מבקש כדי לענות לך. התוכן מגיע אליו כפי שהוא, בלי ההסרה שבסעיף 6.1, ומה שהוא מקבל כפוף למדיניות הפרטיות שלו ולהגדרות שלך אצלו. אנחנו לא שולטים בזה.
• שינויים שהשירות עושה נרשמים ביומן הפעילות ואפשר לבטל אותם. הוא לא יכול למחוק דבר, רק להעביר לארכיון.
• אפשר לנתק בכל רגע, ואז הגישה שלו נעצרת מיד.

7. אבטחה

• הצפנה בהעברה (TLS) ובמנוחה אצל ספקי התשתית.
• הפרדה בין משתמשים בשכבת הנתונים: כל שאילתה בשרת מסוננת לפי המשתמש, ורק השרת של otto ניגש למסד הנתונים.
• מפתחות וסודות של השרת לא נמצאים באפליקציה; האסימון שלך נשמר ב-Keychain של המכשיר.

אף מערכת אינה חסינה לחלוטין; נודיע לך על אירוע אבטחה שנוגע למידע שלך כנדרש בדין.

8. שמירה, גיבוי, מחיקה וייצוא

• התוכן נשמר כל עוד החשבון פעיל. הקלטות נמחקות מוקדם יותר, כמפורט בסעיף 3. פריט שמחקת עובר לסל המחזור, ונמחק ממנו אחרי 30 יום.
• יומן הפעילות: כל שינוי של AI נרשם עם מה שהיה לפניו ואחריו, כדי שאפשר יהיה לבטל אותו. הפרטים נשמרים 90 יום, ואחר כך נשארת רק השורה.
• נתוני שימוש נשמרים 90 יום, ואחר כך נשארת רק ספירה יומית. צילומי מסך מהמשוב נמחקים אחרי 90 יום. טקסט המשוב והדירוגים נשמרים עד מחיקת החשבון.
• גיבוי: מסד הנתונים מגובה כל לילה בגיבוי מוצפן, באחסון נפרד עם מפתח משלו. כל גיבוי נמחק לבד אחרי 14 יום.
• מחיקת החשבון מתוך האפליקציה (הגדרות ← החשבון שלך ← מחיקת החשבון) מוחקת מיד, ובלי דרך חזרה, את כל המידע שלך: הרשומות, הקבצים באחסון, אינדקס החיפוש לפי משמעות, יומנים שיש בהם תוכן, החיבורים של AI חיצוני (ההרשאות שנתת ב-MCP) וחשבון ההתחברות. בנוסף, ההרשאה של "התחברות עם Apple" מבוטלת מול Apple. היוצא מן הכלל היחיד הוא הגיבויים: מה שנשאר בהם נמחק איתם, תוך 14 יום.
• במכשיר: otto שומר במכשיר עותק של המידע שלך, כדי לעבוד גם בלי חיבור. בהתנתקות מהענן העותק הזה נמחק מהמכשיר.
• ייצוא של כל המידע שלך, בלחיצה (הגדרות ← פרטיות ומידע ← ייצוא כל המידע): קובץ zip עם JSON של כל הרשומות, Markdown לכל מסמך, התמלולים והסיכומים, והקבצים המצורפים. קובצי שמע לא נכללים.

9. הזכויות שלך

לפי חוק הגנת הפרטיות בישראל ולפי ה-GDPR (למשתמשים באיחוד האירופי), יש לך זכות לעיין במידע, לתקן אותו, למחוק אותו, לקבל אותו בקובץ, להגביל את העיבוד שלו ולהתנגד לו, ולבטל הסכמה שנתת. רוב הזכויות ממומשות מתוך האפליקציה: עריכה ומחיקה של כל פריט, ייצוא, מחיקת החשבון, וכיבוי ה-AI ונתוני השימוש בהגדרות. לכל השאר כתבו אלינו. אפשר גם להגיש תלונה לרשות להגנת הפרטיות בישראל, או לרשות להגנת המידע במדינה שלך באיחוד האירופי.

10. גיל

השירות מיועד למי שמלאו לו 16. במסך ההתחברות אתה מאשר שמלאו לך 16. איננו אוספים ביודעין מידע מילדים מתחת לגיל זה; אם נגלה שנאסף מידע כזה, נמחק אותו.

11. שינויים

נעדכן מדיניות זו מעת לעת, עם גרסה ותאריך חדשים. על שינוי מהותי נודיע באפליקציה פעם אחת, עם קישור למסמכים.

12. דין חל וסמכות שיפוט

על מדיניות זו חל דין מדינת ישראל, וסמכות השיפוט הבלעדית נתונה לבתי המשפט המוסמכים בתל אביב. אין בכך כדי לגרוע מזכויות שהדין במקום מגוריך מעניק לך ושאי אפשר לוותר עליהן, כמו זכויות לפי ה-GDPR.

13. יצירת קשר

צוות otto · support@myo-io.com

עברית

Privacy Policy

Last updated: 21 October 2026 · version 2026-10-19

1. Who we are and what otto is

otto is a personal work app for Mac and iPhone (the "Service"): tasks, meetings that are recorded, transcribed and summarized, documents, people and decisions. The Service is operated by the otto team ("we"). This policy explains what is collected, what it is used for, where it is sent, how long it is kept, and how to delete or export it.

This policy covers otto in the cloud, which the app connects to. If you connected the app to a private server, your data is kept on that server, under the responsibility of whoever runs it.

Using the Service means you accept this policy. Your acceptance, together with your confirmation that you are 16 or older, is recorded at your first sign-in with the documents' version and the date. AI processing has a separate consent, on a screen of its own (section 6.1).

2. What is collected

2.1 Account details

• Sign in with Apple: the identifier Apple provides, your email address (or an address Apple creates and forwards to you, if you chose to hide yours) and your name, if you chose to share it. We never hold your password.
• Your devices: the notification token Apple gives each device, so we can send it reminders and notifications.
• Your consents: the version and date of the documents you accepted, your confirmation that you are 16 or older, and your consent to AI processing.

2.2 The content you create

• Projects, tasks, documents, people, decisions, reminders and your settings.
• Meeting recordings you start yourself, their transcripts and the summaries made from them.
• The work map and the onboarding conversation: what you told otto about your work, in writing or in a short voice note, and the structure built from it.
• Memory: what otto has learned about your work and how you work. You can view and edit it, pause what it captures, or reset it in Settings → Memory.
• What otto's AI does for you: your conversations with the Mechanic, and the suggestions and changes of the Gardener and of automations.
• Files you attach (images, PDFs, Office documents).

2.3 Usage data

• Events from a fixed list, such as "created a task", "recorded a meeting" or "finished onboarding". Each event carries only fixed values: a choice from a list, a number, or yes or no. They contain no content: no titles, no text and no transcripts.
• You can turn them off in Settings → Privacy and data → Usage data, and then no such events are recorded.

2.4 Feedback

• The feedback form: the kind of feedback, what you wrote, the screen and the version. A screenshot is attached only if you keep it: you see it before sending and can remove it.
• Ratings of AI output (👍 or 👎, and a sentence if you add one) on meeting summaries and on the Mechanic's answers.
• Answers to two short questions, at the end of onboarding and after your first summary. You can skip them.

3. Recordings

• A recording starts only when you tap record. Before your first recording the app reminds you to ask the participants' consent.
• Obtaining the participants' consent to recording, transcription and processing is your responsibility. otto is a tool, not a party to the conversation.
• A recording is used for processing only. It is sent to the server and transcribed by an external transcription provider. The provider receives the audio as it was recorded, and every request to it is sent with an opt-out from its model improvement program. otto's AI then summarizes the transcript, if you consented to it (section 6.1). Transcription isn't part of otto's AI: it goes on when the AI is off or before you consented to it, and then you get the transcript without a summary.
• You don't get the audio back. You receive the transcript and the summary. The audio file cannot be played or downloaded, is not included in the export, and is not available to an AI you connected.
• How long it is kept: the audio file stays in cloud storage only for processing, and is deleted 48 hours after processing succeeded. If processing fails, the file is kept until processing succeeds, and for at most 7 days. In addition, a storage rule deletes every file in the recordings area after 9 days at the latest.
• The transcript and the summary stay in your account until you delete them or the account.
• A voice note during onboarding ("Say it out loud") is transcribed by the same external provider, and the text joins the conversation. The audio file is deleted right after the transcription succeeds, and within 7 days at most if it fails.

4. Information about other people

otto lets you keep information about other people: team members, clients, students, meeting participants. This includes names, roles, contact details, notes, and what was said in recordings and transcripts.

• You are responsible for that information. Keep only what you are allowed to keep, and only as much as your work needs. Where the law requires those people's consent or notice, arranging it is up to you.
• How it is processed: exactly like your own content. It is kept in your account, separated from other users, and may be sent to the providers in section 6 when you record or when otto's AI runs. Before anything is sent for AI processing, their names are replaced with placeholders and their contact details are removed. Recordings sent for transcription have no such removal.
• A request from such a person to access, correct or delete information about them is addressed to you. Every item can be edited and deleted from inside the app.

5. Why the data is used

• To provide the Service: store, sync across your devices, transcribe, summarize, remind, run otto's AI if you consented to it, and answer your requests.
• To secure, maintain and fix the Service.
• To improve the quality of otto and the experience of using it. For that we use information about how otto is used, without your content (section 2.3), and the feedback you sent. We don't use them for any other purpose.
• To comply with the law.

We don't sell data, we don't use it for advertising, and we use no advertising cookies. We don't train models on your content.

6. Where your data is and who receives it

Your data is stored in the European Union: the database in Germany, the server in Ireland, and the files in the EU. To transcribe, summarize and run otto's AI, content is sent for processing to external providers, mostly in the United States. Sign-in and notifications go through Apple.

These are the providers that receive your data, by the role of each:

• Database and sign-in account: Supabase, in Germany. All your records, and your sign-in account with its email address.
• Server: Heroku, in Ireland. The server that runs otto and handles every request from the app.
• File storage: Cloudflare, in the EU. Files you attached, recordings until they are deleted, and feedback screenshots.
• Transcription: an external transcription provider. It receives the audio of recordings and of the onboarding voice note (section 3).
• AI processing: Anthropic, and through OpenRouter additional providers that don't retain the data. They receive the content relevant to each request, after identifying details are removed, and only if you consented (section 6.1).
• Sign-in and notifications: Apple. Apple verifies your identity when you sign in. Reminders and notifications are sent through Apple's notification service, with their title and text.
• During the beta: feedback and crash reports sent through TestFlight reach us through Apple, according to your settings there.

When you add a link, or an image from a web address, the app loads its preview directly from that site. The site receives an ordinary request from your device, and nothing else from otto.

Some providers are US companies, even when they store the data in the EU. Transfers follow the applicable law and your consent. Beyond the providers, we disclose data only when required by law or a court order, or to protect our rights and our users.

6.1 AI processing

Before otto's AI acts for the first time, the app shows a consent screen that says:

To help you, otto sends the relevant content for processing to Anthropic, and through OpenRouter to additional providers that don't retain it. Your data isn't used to train models. Before sending, otto removes identifying details from the text and replaces people's names with placeholders. You can turn this off anytime in Settings.

• Only with your consent: otto's AI runs only after you agree on that screen. Your consent is recorded with the date and the version of the text, and if the text changes, the screen appears again. If you don't agree, otto works without AI, and offers the screen again only when you ask for something that needs AI.
• Withdrawing it: turning the AI off in Settings (Settings → AI → otto's AI) withdraws your consent. From that moment no content is sent for AI processing, background work included, and everything that doesn't need AI keeps working.
• Search by meaning: to find things by what they mean and not only by their words, otto sends passages of your content to the same providers, which return a numeric representation of them (embeddings). This too happens only with your consent, after the same removal of identifying details, and never while the AI is off. Without consent, search works by words.
• What is removed: phone numbers, email addresses, ID numbers, and credit card and bank account numbers. The names of people in your otto, and your own name, are replaced with placeholders, and a name comes back only in the answer that reaches you. The link between a placeholder and a name is kept only in memory, while the request runs. The removal applies to text sent for AI processing, not to the audio sent for transcription (section 3).

6.2 Connecting your AI (MCP)

You can connect an external AI service of yours, such as Claude or ChatGPT, in Settings → Connections → Connect your AI. The connection is made only after you approve it in the app, or with a personal key you created there, at the level you chose: read and write, or read only. You can also set each project to full access, read only, or hidden.

• The connected service receives from otto only what it asks for to answer you. The content reaches it as it is, without the removal described in section 6.1, and what it receives is subject to its privacy policy and your settings there. We do not control that.
• Changes it makes are logged in the activity log and can be undone. It cannot delete anything, only archive.
• You can disconnect it at any time, which stops its access at once.

7. Security

• Encryption in transit (TLS) and at rest at the infrastructure providers.
• Separation between users in the data layer: every query on the server is filtered by the user, and only otto's server reaches the database.
• The server's keys and secrets are not in the app; your token is kept in the device's Keychain.

No system is perfectly secure; we will notify you of a security incident concerning your data as the law requires.

8. Retention, backups, deletion and export

• Content is kept as long as the account is active. Recordings are deleted earlier, as section 3 describes. An item you delete goes to the recycle bin, and is removed from it after 30 days.
• The activity log: every change made by AI is logged with what was there before and after, so it can be undone. These details are kept 90 days, then only the line remains.
• Usage data is kept 90 days, then only a daily count remains. Feedback screenshots are deleted after 90 days. Feedback text and ratings are kept until the account is deleted.
• Backups: the database is backed up every night, encrypted, in a separate store with its own key. Every backup is deleted by itself after 14 days.
• Deleting the account from inside the app (Settings → Your account → Delete account) removes all your data at once and irreversibly: the records, the files in storage, the search-by-meaning index, logs that contain content, the external AI connections (the access you granted through MCP) and the sign-in account. Your Sign in with Apple authorization is also revoked with Apple. The only exception is backups: whatever remains in them is deleted with them, within 14 days.
• On your device: otto keeps a copy of your data on the device so it works without a connection. Signing out of the cloud removes that copy from the device.
• Export of all your data, in one tap (Settings → Privacy and data → Export all data): a zip with JSON of every record, Markdown of every document, the transcripts and summaries, and the attached files. Audio files are not included.

9. Your rights

Under Israel's Privacy Protection Law and under the GDPR (for users in the EU), you have the right to access your data, correct it, delete it, receive it in a file, restrict and object to its processing, and withdraw a consent you gave. Most of these are done from inside the app: editing and deleting any item, the export, deleting the account, and turning off the AI and usage data in Settings. For anything else, write to us. You can also lodge a complaint with Israel's Privacy Protection Authority, or with the data protection authority of your country in the EU.

10. Age

The Service is for people aged 16 and over. On the sign-in screen you confirm that you are 16 or older. We do not knowingly collect data from children under that age; if we learn that we did, we delete it.

11. Changes

We update this policy from time to time, with a new version and date. We announce a material change once in the app, with a link to the documents.

12. Governing law and jurisdiction

This policy is governed by the laws of the State of Israel, and the competent courts of Tel Aviv have exclusive jurisdiction. This does not take away rights that the law where you live grants you and that cannot be waived, such as rights under the GDPR.

13. Contact

The otto team · support@myo-io.com