Legal

Privacy Policy

Last updated: September 2026  ·  D&D Sync

1. Who We Are

D&D Sync is a personal D&D session companion app for managing character sheets, campaigns, and initiative tracking. This policy explains what data we collect, why we collect it, and how we handle it.

2. Data We Collect

  • Account information — username, email address, and a bcrypt-hashed password when you register.
  • Character & campaign data — everything you enter into your character sheets and campaigns (stats, notes, inventory, spell slots, etc.). This data is stored server-side to enable syncing across sessions and devices.
  • Server logs — basic access logs (IP address, timestamps, HTTP method) retained for security and debugging. These are not linked to user profiles and are rotated regularly.

We do not use advertising networks, analytics trackers, or any form of third-party behavioural tracking.

3. How We Use Your Data

  • To authenticate you and keep your session secure.
  • To store and sync your characters and campaign data across sessions.
  • To send password-reset emails when you explicitly request one.
  • To allow your Game Master to view party stats in the GM overview (only within campaigns you join).

We do not sell, rent, share, or monetise your personal data in any way.

4. Third-Party Services

Fonts, scripts and game data are served from our own server — your browser does not connect to Google Fonts, analytics or advertising services. A few optional features do involve other services:

  • YouTube (Google Ireland Ltd.) — when the Game Master plays a YouTube video as music or ambience on the tabletop, the device that plays it (usually the table display, optionally the GM's browser) loads the YouTube player from youtube.com. YouTube then receives that device's IP address and may store cookies or similar data under Google's Privacy Policy. Nothing is loaded from YouTube unless such a track is played.
  • Anthropic (Claude) — when a Game Master uses the AI helpers of the tabletop (map analysis, tags for the scene library, NPC lines, read-aloud text), our server sends the map image or the text involved to Anthropic PBC (USA) for processing, under Anthropic's Privacy Policy. No account data and no character sheets are sent; players never trigger this.
  • Owlbear Rodeo — if you use the D&D Sync extension inside Owlbear Rodeo, its pages load the Owlbear Rodeo SDK from the jsDelivr CDN, and the party's names, pictures and positions appear in that Owlbear room. Owlbear Rodeo's own privacy policy applies to your use of Owlbear.
  • Email — confirmation and password-reset emails are sent through our email provider (SMTP).
  • Linked content — pictures, portraits or videos that someone adds as a link (for example in a post) are loaded from the site that hosts them.
  • Casting to a TV — showing the table display on a TV uses your browser's built-in casting (Chrome); it runs between your browser and your device.

5. Data Storage & Security

Your data is stored in a SQLite database on our server. Passwords are hashed with bcrypt and are never stored or transmitted in plain text. Your login is a signed token (JWT) valid for 30 days, stored only in your browser's localStorage; changing your password signs out every other device. Live connections open with a token valid for 60 seconds, so your login never appears in a web address.

The database is backed up once a day; backups are kept for up to six months on a second disk of the same server.

We apply reasonable technical and organisational measures to protect your data. No internet-connected system can guarantee absolute security.

6. D&D 5e Game Content

Spell, monster, and item reference data is sourced from the community 5etools dataset. Access to this full content requires your explicit consent, which you can grant or revoke at any time in Profile → Content Licence. Without consent, only SRD-licensed content is shown. We do not host or redistribute this content commercially.

7. Your Rights

  • Access & export — you can export all your characters as JSON at any time from Profile → Export & Import.
  • Correction — update your email address and password directly in Profile Settings.
  • Deletion — contact us to permanently delete your account and all associated data. We will process requests within 30 days.
  • Portability — exported character JSON files are self-contained and can be re-imported into another instance of D&D Sync.

If you are in the EU/EEA you additionally have rights under the GDPR, including the right to lodge a complaint with your local supervisory authority.

8. Cookies & Local Storage

We do not set any cookies. We use browser localStorage to store:

  • dnd_token — your authentication token (cleared on sign-out).
  • dnd_theme / dnd_theme_dark — your UI theme preference.
  • dnd_realm — your active realm/campaign info for display purposes.
  • dnd_user — your username and user ID for display purposes.
  • dnd_lang, dndstats_layout and similar keys (vtt_…, gm_…, dnd_cast_…) — language, layout and view preferences.
  • dnd_char_… / dnd_pending_… — an offline copy of your character sheet and changes not yet sent, so the sheet keeps working when the connection drops.

The app's service worker also keeps copies of pages, scripts, pictures and game data in your browser's cache so it loads fast and works offline. You can remove all of this by clearing the site data in your browser.

None of this data is transmitted to anyone other than our own server during normal API requests.

9. Changes to This Policy

We may update this policy when we add new features or when legal requirements change. The "last updated" date at the top of this page will reflect any changes. Continued use of D&D Sync after changes are posted constitutes acceptance of the updated policy.

10. Contact

For privacy questions, data access requests, or deletion requests, reach out via our Discord or via the contact details in our Impressum.

1. Wer wir sind

D&D Sync ist ein privat betriebener Begleiter für D&D-Runden: Charakterbögen, Kampagnen und Initiative in Echtzeit. Diese Erklärung beschreibt, welche Daten wir erheben, wozu und wie wir mit ihnen umgehen.

2. Welche Daten wir erheben

  • Kontodaten — Benutzername, E-Mail-Adresse und ein mit bcrypt gehashtes Passwort, wenn du dich registrierst.
  • Charakter- und Kampagnendaten — alles, was du in Charakterbögen und Kampagnen einträgst (Werte, Notizen, Inventar, Zauberplätze usw.). Diese Daten liegen auf unserem Server, damit sie zwischen Sitzungen und Geräten synchron bleiben.
  • Server-Protokolle — einfache Zugriffsprotokolle (IP-Adresse, Zeitpunkt, HTTP-Methode) für Sicherheit und Fehlersuche. Sie werden nicht mit Benutzerprofilen verknüpft und regelmäßig gelöscht.

Wir nutzen keine Werbenetzwerke, keine Analyse-Tracker und keinerlei verhaltensbasiertes Tracking durch Dritte.

3. Wofür wir deine Daten verwenden

  • Um dich anzumelden und deine Sitzung abzusichern.
  • Um deine Charaktere und Kampagnendaten zu speichern und zwischen Sitzungen zu synchronisieren.
  • Um E-Mails zur Bestätigung deiner Adresse oder zum Zurücksetzen des Passworts zu senden, wenn du das anforderst.
  • Damit deine Spielleitung in der SL-Übersicht die Werte der Gruppe sieht (nur in Kampagnen, denen du beitrittst).

Wir verkaufen, vermieten, teilen oder vermarkten deine personenbezogenen Daten in keiner Weise.

4. Dienste Dritter

Schriften, Skripte und Spieldaten kommen von unserem eigenen Server — dein Browser verbindet sich weder mit Google Fonts noch mit Analyse- oder Werbediensten. Einige optionale Funktionen beziehen andere Dienste ein:

  • YouTube (Google Ireland Ltd.) — spielt die Spielleitung ein YouTube-Video als Musik oder Atmosphäre am Spieltisch ab, lädt das Gerät, auf dem es läuft (meist die Tischanzeige, wahlweise der Browser der SL), den YouTube-Player von youtube.com. YouTube erhält dabei die IP-Adresse dieses Geräts und kann Cookies oder ähnliche Daten speichern, nach der Datenschutzerklärung von Google. Ohne einen solchen Titel wird nichts von YouTube geladen.
  • Anthropic (Claude) — nutzt eine Spielleitung die KI-Helfer des Spieltischs (Kartenanalyse, Schlagwörter für die Szenenbibliothek, NSC-Sätze, Vorlesetexte), sendet unser Server das betreffende Kartenbild bzw. den betreffenden Text zur Verarbeitung an Anthropic PBC (USA), nach der Datenschutzerklärung von Anthropic. Kontodaten und Charakterbögen werden nicht übermittelt; Spielerinnen und Spieler lösen das nie aus.
  • Owlbear Rodeo — nutzt du die D&D-Sync-Erweiterung in Owlbear Rodeo, laden ihre Seiten das Owlbear-Rodeo-SDK vom CDN jsDelivr, und Namen, Bilder und Positionen der Gruppe erscheinen in diesem Owlbear-Raum. Für deine Nutzung von Owlbear gilt die Datenschutzerklärung von Owlbear Rodeo.
  • E-Mail — Bestätigungs- und Passwort-E-Mails werden über unseren E-Mail-Anbieter (SMTP) versendet.
  • Verlinkte Inhalte — Bilder, Porträts oder Videos, die jemand als Link einfügt (zum Beispiel in einem Beitrag), werden von der Website geladen, auf der sie liegen.
  • Übertragung auf einen Fernseher — die Tischanzeige auf einen Fernseher zu bringen nutzt die eingebaute Übertragungsfunktion deines Browsers (Chrome); sie läuft zwischen deinem Browser und deinem Gerät.

5. Speicherung und Sicherheit

Deine Daten liegen in einer SQLite-Datenbank auf unserem Server. Passwörter werden mit bcrypt gehasht und nie im Klartext gespeichert oder übertragen. Deine Anmeldung ist ein signiertes Token (JWT), das 30 Tage gilt und nur im localStorage deines Browsers liegt; wenn du dein Passwort änderst, werden alle anderen Geräte abgemeldet. Live-Verbindungen öffnen mit einem Token, das 60 Sekunden gilt, damit deine Anmeldung nie in einer Webadresse steht.

Die Datenbank wird einmal täglich gesichert; die Sicherungen bleiben bis zu sechs Monate auf einer zweiten Festplatte desselben Servers.

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz deiner Daten. Kein mit dem Internet verbundenes System kann jedoch absolute Sicherheit garantieren.

6. Spielinhalte für D&D 5e

Zauber-, Monster- und Gegenstandsdaten stammen aus dem Community-Datensatz von 5etools. Der Zugriff auf diese vollständigen Inhalte setzt deine ausdrückliche Zustimmung voraus, die du jederzeit unter Profil → Inhaltslizenz erteilen oder widerrufen kannst. Ohne Zustimmung werden nur Inhalte unter SRD-Lizenz angezeigt. Wir hosten oder verbreiten diese Inhalte nicht kommerziell.

7. Deine Rechte

  • Auskunft und Export — du kannst alle deine Charaktere jederzeit unter Profil → Export & Import als JSON exportieren.
  • Berichtigung — E-Mail-Adresse und Passwort änderst du direkt in den Profileinstellungen.
  • Löschung — kontaktiere uns, um dein Konto und alle zugehörigen Daten dauerhaft löschen zu lassen. Wir bearbeiten Anfragen innerhalb von 30 Tagen.
  • Übertragbarkeit — exportierte Charakter-JSON-Dateien sind in sich vollständig und lassen sich in eine andere Instanz von D&D Sync importieren.

Wenn du dich in der EU bzw. im EWR befindest, hast du zusätzlich die Rechte nach der DSGVO, einschließlich des Rechts auf Beschwerde bei deiner zuständigen Aufsichtsbehörde.

8. Cookies und lokaler Speicher

Wir setzen keine Cookies. Im localStorage deines Browsers speichern wir:

  • dnd_token — dein Anmelde-Token (wird beim Abmelden gelöscht).
  • dnd_theme / dnd_theme_dark — dein gewähltes Farbschema.
  • dnd_realm — Angaben zu deinem Realm bzw. deiner Kampagne für die Anzeige.
  • dnd_user — dein Benutzername und deine Benutzer-ID für die Anzeige.
  • dnd_lang, dndstats_layout und ähnliche Einträge (vtt_…, gm_…, dnd_cast_…) — Sprache, Aufbau und Ansichtseinstellungen.
  • dnd_char_… / dnd_pending_… — eine Offline-Kopie deines Charakterbogens und noch nicht gesendete Änderungen, damit der Bogen auch bei Verbindungsabbrüchen funktioniert.

Der Service Worker der App hält außerdem Kopien von Seiten, Skripten, Bildern und Spieldaten im Cache deines Browsers, damit sie schnell laden und offline funktionieren. All das entfernst du, indem du die Website-Daten in deinem Browser löschst.

Diese Daten werden bei normalen Anfragen an niemanden außer unseren eigenen Server übertragen.

9. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn neue Funktionen hinzukommen oder sich rechtliche Anforderungen ändern. Das Datum „Zuletzt aktualisiert“ oben auf dieser Seite zeigt den Stand. Wer D&D Sync nach einer Änderung weiter nutzt, akzeptiert die aktualisierte Erklärung.

10. Kontakt

Für Fragen zum Datenschutz, Auskunfts- oder Löschanfragen erreichst du uns über unseren Discord oder über die Kontaktdaten im Impressum.