Privacybeleid

Dit is een vertaling ter informatie; de Duitse versie is bindend.

Laatst bijgewerkt: oktober 2026

KindChat, een end-to-end versleutelde messenger met AI-bescherming op het apparaat. Gehost in de EU, geen tracking, geen profilering.

Verwerkingsverantwoordelijke: sonrisa ventures GmbH, Kleiststraße 35, 10787 Berlin, Duitsland · hi@kindchat.app

Functionaris voor gegevensbescherming: MIRUS Aktiengesellschaft, Unternehmensberatung, Ziegelfichtenweg 44, 14974 Ludwigsfelde, Duitsland, tel. +49 3378 2080727; e-mail via hi@kindchat.app (onderwerp “Datenschutzbeauftragter”)

1. Algemeen en beginselen

Onze verwerking volgt deze beginselen:

• Eerst op het apparaat: de AI-moderatie draait eerst op je apparaat, bij het verzenden en bij het ontvangen. Twijfelt het apparaat, en in sommige talen (zoals Frans en Turks) bij de meeste berichten, dan stuurt het de tekst ook naar onze tweede controlestap op onze eigen server in de EU (2.3), zonder je account-ID; die wordt alleen met je toestemming bewaard (2.2).
• End-to-end-versleuteling (E2EE): berichten en media zijn end-to-end versleuteld, en gesprekken als beide personen KindChat 1.1.14 of nieuwer hebben (met een oudere versie versleuteld, zonder sleutelbevestiging). Welke gegevens we desondanks kunnen lezen, staat vooral in 2.1, 2.2, 2.3, 2.6 en 2.8.
• Geen tracking, geen profilering.
• Transparantie & dataminimalisatie.
• Hosting in de EU.

Dit beleid verwijst naar art. 13/14 AVG, art. 50 van de AI-verordening en de Digital Services Act (DSA).

2. Welke gegevens we verwerken en waarom

2.1 Registratie en account (verplichte gegevens)

• Telefoonnummer (identificatie en E2EE via het Signal-protocol)
• Apparaattoken voor pushmeldingen (APNs/FCM, standaard-verwerkersovereenkomst)
• App-versie, besturingssysteem, apparaatmodel
• Profiel- en groepsgegevens: je weergavenaam, de keuze van je vooraf ingestelde avatar, je “Info”-tekst, de naam, beschrijving, welkomsttekst en afbeelding van een groep, en reacties op berichten slaan we momenteel leesbaar op. De “Info”-tekst slaat de app vanaf versie 1.1.14 alleen nog op je apparaat op. De overige gegevens versleutelen we end-to-end, telkens zodra we dat inschakelen. Daarna lezen we ze niet meer, met drie uitzonderingen: de naam van een groep houden we leesbaar totdat alle ondersteunde app-versies hem versleuteld kunnen lezen, en gegevens die nog geen actuele app heeft versleuteld, tot die tijd; een naam die iemand met een melding meegeeft, zien we in die melding; is een apparaat onzeker over een naam, dan controleert onze tweede controlestap die zonder identificatie (zie 2.3). Leesbaar blijven voor ons wie in welke groep zit, met welke rol, sinds wanneer en door wie toegevoegd, het aantal leden en de instellingen van een groep.

Doel: levering van de dienst, authenticatie, bezorging. Rechtsgrond: art. 6 lid 1 sub b AVG. Bewaartermijn: tot verwijdering van het account, plus wettelijke termijnen.

2.2 AI-moderatie op het apparaat (kernfunctie)

Tekst en (vanaf versie 1.1.14) documenten worden op je apparaat gecontroleerd, ook tekst die in een afbeelding, een videobeeld of een document staat. Afbeeldingen en video's worden op het apparaat op naaktheid gecontroleerd, bij het verzenden en bij het ontvangen; bij video's losse stilstaande beelden, niet het geluid. De inhoud van oproepen wordt niet gecontroleerd. Spraakberichten zijn gepauzeerd (zie 2.4). De modellen staan op het apparaat. In twijfelgevallen, en in sommige talen (zoals Frans en Turks) bij de meeste berichten, raadpleegt je apparaat de tweede controlestap (zie 2.3).

Alleen met jouw toestemming: bijdragen aan het verbeteren van de moderatie. In de app-instellingen onder Privacy kun je “Help moderatie te verbeteren” inschakelen. Staat de schakelaar aan, dan bewaren we bij beslissingen van de tweede controlestap de gecontroleerde tekst in gepseudonimiseerde vorm, samen met taal, categorie en beslissing. Deze gegevens bevatten geen identificatie van je account. Namen, telefoonnummers en e-mailadressen worden vóór de opslag vervangen, voor zover onze procedure ze herkent. De gegevens zijn gepseudonimiseerd, niet anoniem. Ze dienen om ons eigen moderatiemodel te toetsen en verder te ontwikkelen. De schakelaar staat standaard uit, en je kunt hem op elk moment weer uitschakelen; daarna wordt over je berichten niets meer bewaard. Zonder deze toestemming wordt de gecontroleerde tekst na de beslissing verwijderd.

Doel: toetsing en verdere ontwikkeling van de moderatiekwaliteit. Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), herroepbaar. Bewaartermijn: 36 maanden, daarna automatische verwijdering. Opslaglocatie: uitsluitend EU.

Melden dat iets onterecht is tegengehouden. Vind je het onterecht dat de app je eigen bericht, je Pulse-bericht of je reactie tegenhoudt, dan kun je dat in de meeste gevallen melden, maar niet bij foto's, video's en documenten en niet als het om kinderveiligheid of zelfbeschadiging gaat. De app verstuurt de melding alleen als “Help moderatie te verbeteren” aan staat. Staat de schakelaar uit, dan kun je hem bij het melden inschakelen; hij blijft dan aan (zie hierboven). Voor beschermde leden verstuurt de app geen melding (zie 2.8).

Met de melding ontvangen we de tegengehouden woorden die jij schreef, al op je apparaat gepseudonimiseerd. Bij een chatbericht komen daar maximaal vijf eerdere regels van jezelf uit dit gesprek bij, bij een Pulse-bericht eventueel tekst uit de beschrijvingen van de foto's en video's. Daarnaast ontvangen we gegevens over welke regel en welke controlestap de woorden tegenhield en hoe het controlemodel ze inschatte, in welke taal ze geschreven zijn en welke app-versie, controleregels en taalpakketten je apparaat gebruikt. Onze server pseudonimiseert de teksten nog een keer. Je naam en je nummer voegen we niet toe; namen, telefoonnummers en e-mailadressen in je woorden vervangen we, voor zover onze procedure ze herkent. De melding is gepseudonimiseerd, niet anoniem. De foto's en video's zelf en alles wat anderen schreven, zijn niet inbegrepen. De melding wordt bewaard zonder identificatie van je account; bij ontvangst controleren we je account alleen om misbruik te beperken en de bewaartermijn vast te stellen. Beoordelaars van KindChat zien de melding.

Doel: herkenning en herstel van onjuiste moderatiebeslissingen, door regels aan te passen of de melding als voorbeeld te gebruiken bij het trainen van ons eigen moderatiemodel. Rechtsgrond: art. 6 lid 1 sub a AVG (je uitdrukkelijke melding in het afzonderlijke geval). Bewaartermijn: 36 maanden, daarna automatische verwijdering; bereikt de melding van een beschermd lid ons toch, dan verwijderen we die na 12 maanden. Omdat de melding geen identificatie van je account bevat, kunnen we haar later niet meer aan jou koppelen; ze blijft bestaan tot het einde van de termijn, ook als je de schakelaar uitzet of je account verwijdert. Opslaglocatie: uitsluitend EU.

Doel: bescherming tegen schadelijke inhoud. Rechtsgrond: art. 6 lid 1 sub f AVG en art. 6 lid 1 sub a (toestemming bij de Beschermkring). Zie AI-transparantie.

2.3 Tweede controlestap op EU-infrastructuur (twijfelgeval en, in sommige talen zoals Frans en Turks, de meeste berichten)

Kan de controle op het apparaat niet met zekerheid beslissen, en in sommige talen (zoals Frans en Turks) bij de meeste berichten, dan stuurt je apparaat de betreffende tekst (ook tekst die je apparaat in een afbeelding, een videobeeld of (vanaf versie 1.1.14) een document heeft herkend, nooit de afbeelding of het bestand zelf) en maximaal vijf voorafgaande berichten uit het gesprek naar onze eigen moderatiedienst op EU-infrastructuur. Dat gebeurt vóór de versleuteling en door je apparaat zelf. Wij ontsleutelen geen berichten tijdens de verzending of uit de opslag; de daarvoor benodigde sleutels staan op de apparaten. Er zijn twee uitzonderingen. Berichten die je zelf aan de KindChat-support schrijft, worden door onze server ontsleuteld, en ons supportteam leest ze om je te helpen. En als je een bericht meldt en in het meldvenster toestemming geeft, geeft je apparaat ons de inhoud of de sleutel van precies dit ene bericht; met die sleutel openen wij hoogstens dit ene bericht. Het verzoek aan de tweede controlestap is ter voorkoming van misbruik geauthenticeerd; bij binnenkomst herkent onze server je account, maar aan het controlemodel geeft hij alleen de tekst en de voorafgaande berichten door, zonder identificatie van de betrokken personen. Tekst en account worden niet samen opgeslagen, en de verzonden tekst wordt na de beslissing verwijderd.

Doel: bescherming tegen ernstige schade; meldplichten bij strafbare feiten. Rechtsgrond: art. 6 lid 1 sub f en eventueel sub c. Wistermijn: de gecontroleerde tekst wordt na de beslissing verwijderd. Alleen met jouw toestemming blijft een gepseudonimiseerde versie bewaard (zie 2.2). Technische logs van onze app-server, zonder berichtinhoud: maximaal 30 dagen, behalve bij een wettelijke bewaarplicht; bij enkele hulpdiensten stellen we de grens van 30 dagen nu in, tot dan worden ze op grootte overschreven. Het log van onze app-server bevat niet je IP-adres en niet je account, met twee uitzonderingen die ook na uiterlijk 30 dagen verdwijnen: start je zelf een diagnose voor ons supportteam, dan staat je account-ID erin, zonder adres, zodat het supportteam de diagnose aan je account kan koppelen; en kan een verstrekking aan een autoriteit niet in ons verantwoordingslog worden vastgelegd, dan legt het log vast dat die plaatsvond, met het account-ID van de betrokken persoon, zodat een inzageverzoek van die persoon deze toch vindt. Geen doorgifte, behalve aan verwerkers met een verwerkersovereenkomst, uitsluitend in de EU.

2.4 Spraakberichten / spraaktranscriptie

Spraakberichten zijn momenteel gepauzeerd: actuele app-versies (vanaf 1.1.1) kunnen geen spraakberichten meer opnemen, verzenden of afspelen. Zolang oudere app-versies de functie nog bevatten, geldt daarvoor: geautomatiseerde transcriptie uitsluitend op het apparaat; bij escalatie wordt alleen de transcriptietekst voor de inhoudsclassificatie op EU-infrastructuur gecontroleerd, nooit het audiobestand. Uitsluitend inhoudsherkenning, geen emotieherkenning (art. 50 lid 3 van de AI-verordening); er worden geen biometrische gegevens opgeslagen. Rechtsgrond als bij 2.2/2.3.

2.5 Beschermkring-functie (optioneel)

• Toestemming van de beschermde persoon
• Instellingen en metagegevens van de beschermingsrelatie (niet de inhoud!)
• Meldingen over beschermingsmaatregelen

Doel: ondersteuning bij het beheer van contacten en beschermingsmaatregelen. Rechtsgrond: art. 6 lid 1 sub a (toestemming, herroepbaar). Personen in de Beschermkring krijgen geen inzage in berichtinhoud; wat wij kunnen lezen, staat in 2.1.

2.6 Technische en beveiligingsgegevens

• IP-adres (kortstondig, voor beveiliging en misbruikpreventie)
• Crash- en foutmeldingen naar onze eigen foutregistratie in Duitsland, zonder berichtinhoud. Een uitzondering betreft app-versies 1.1.1 tot en met 1.1.10: die konden in een melding de tekst meesturen van wat was aangetikt, bij een chatbericht dus de tekst ervan en in groepen ook de weergavenaam van de afzender. Daarnaast konden ze technische kenmerken van gesprekspartners en berichten meesturen die in verzoeken aan onze server stonden. Sinds 22 september 2026 neemt onze server meldingen van deze versies niet meer aan; al ontvangen meldingen blijven opgeslagen. Vanaf versie 1.1.11 stuurt de app geen aangetikte tekst en geen van deze kenmerken meer mee. Op de iPhone verwijdert de app bij de eerste start, voordat ze iets verstuurt, eenmalig alle nog niet verzonden meldingen van oudere versies.
• geaggregeerde gebruiksstatistieken

Rechtsgrond: art. 6 lid 1 sub f.

2.7 Geen verdere gegevens

Je adresboek wordt niet geüpload. Als je via de uitnodigingsfunctie vrienden wilt uitnodigen, kan de app op jouw verzoek je contactenlijst lezen, uitsluitend lokaal op je apparaat en alleen zodat je de personen kunt kiezen die je wilt uitnodigen. Het adresboek wordt niet geüpload en niet opgeslagen; alleen de nummers van de door jou uitdrukkelijk bevestigde ontvangers worden doorgegeven aan onze server in Duitsland en uitsluitend gebruikt voor het versturen van de uitnodigings-sms; het nummer zelf wordt niet bewaard. Ter bescherming tegen misbruik (hooguit drie uitnodigingen per dag van jou aan hetzelfde nummer) bewaren we met een geheime sleutel gevormde controlewaarden van het nummer, één daarvan samen met je account, hooguit 24 uur. Rechtsgrondslag: art. 6, lid 1, onder f, AVG. Geen locatiegegevens, geen inhoud voor advertenties of voor het trainen van externe modellen.

2.8 Kinderen en jongeren in een Beschermkring

Personen onder de 16 jaar kunnen KindChat gebruiken als beschermd lid van een Beschermkring; in welke landen, regelt artikel 1.4 van de Gebruiksvoorwaarden. De rechtsgrondslag voor het account is de gebruiksovereenkomst van het beschermde lid, die de meerderjarige houder van de Beschermkring voor het beschermde lid sluit (art. 6, lid 1, onder b, AVG). De zorgfuncties, dus de vrijgave van nieuwe contacten en groepsdeelnames, maken deel uit van deze overeenkomst (art. 6, lid 1, onder b, AVG). Voor zover een verwerking op toestemming berust, geeft de houder die voor het beschermde lid en verklaart hij die uitdrukkelijk bij het aanmaken van de oudercode (art. 6, lid 1, onder a, in samenhang met art. 8 AVG). Er wordt naar een leeftijdscategorie gevraagd, niet naar een geboortedatum: bij registratie en bij een aanmelding op een nieuw apparaat, voor zover de leeftijdscategorie van het account nog niet is opgeslagen. Alleen de daaruit afgeleide leeftijdscategorie, het moment en het land worden bewaard. Bij beschermde leden komen daarbij: het moment en de versie van de verklaring van de houder, de identificatoren van de Beschermkring en de houder, de status van de vrijgaveplicht en eventueel de datum waarop het account is gepauzeerd. Leeftijdscategorie van het besturingssysteem: bij accounts in de VS (bepalend is het telefoonnummer of de opgegeven woonplaats) vraagt de app aanvullend de leeftijdscategorie op die het besturingssysteem of de app-store van het apparaat levert, voor zover daar een is opgeslagen; in meerdere Amerikaanse staten is een dergelijk verzoek sinds 2026 verplicht. Aan ons wordt uitsluitend de leeftijdscategorie zelf doorgegeven, geen geboortedatum, geen naam van een voogd of ouder en geen kenmerk van het platform. Ze wordt niet apart opgeslagen, maar gaat op in de leeftijdscategorie van het account en werkt alleen door als ze lager is dan de eigen opgave; een leeftijdscategorie verhogen kan ze nooit. Het doel is de bescherming van minderjarigen. De rechtsgrondslag is art. 6, lid 1, onder f, AVG (gerechtvaardigd belang bij doeltreffende bescherming van minderjarigen) en, voor zover er een wettelijke plicht tot dit verzoek bestaat, art. 6, lid 1, onder c, AVG. De houder geeft nieuwe contacten en groepsdeelnames vrij. Daarbij ziet hij de weergavenaam van de verzoekende persoon; bij groepen de groepsnaam, de uitnodigende persoon en het aantal leden. Hij heeft geen toegang tot berichten, gesprekken of locatie. Het beschermde lid ziet in de app altijd dat de vrijgaveplicht actief is en welke zorgfuncties de houder heeft verleend; heimelijk toezicht bestaat niet. Wie een beschermd lid een contactverzoek stuurt of in een groep uitnodigt, moet weten: de weergavenaam, bij groepen de groepsnaam en het aantal leden, worden aan de houder van de beschermingskring ter vrijgave getoond; meer komt de houder over de aanvrager niet te weten. Vrijgaveverzoeken waarover is beslist, worden 90 dagen na de beslissing verwijderd. Weigert de houder een verzoek, dan wordt de naam van de groep of community daarbij direct verwijderd. De rechtsgrondslag voor het tonen van de gegevens van de aanvrager is art. 6, lid 1, onder f, AVG (gerechtvaardigd belang bij de bescherming van het beschermde lid). De vrijwillige toestemming "Help moderatie verbeteren" is niet beschikbaar voor beschermde leden. Bij de eerste start krijgen beschermde leden een begrijpelijke samenvatting van deze verklaring (art. 12 AVG).

3. Ontvangers / verwerkers

• Hosting: Hetzner Online GmbH in Duitsland, met verwerkersovereenkomst; geen doorgifte naar derde landen voor inhoudsgegevens
• Push: Apple/Google (standaard-verwerkersovereenkomst, dataminimalisatie). Verzonden wordt een wekseintje naar het pushadres van het apparaat. Afhankelijk van het soort bevat het een vaste tekst zoals “Nieuw bericht”, het aantal ongelezen berichten, kenmerken die alleen KindChat kan koppelen en, bij een inkomende oproep, het soort oproep (audio of video) en het starttijdstip. Wordt een apparaat afgemeld, dan noemt het signaal de reden alleen als categorie (beveiliging, inactiviteit of afmelding of nieuwe aanmelding op een ander apparaat). Stuurt een contact dat je met een ster hebt gemarkeerd je een bericht in een één-op-één-chat, dan bevat het signaal dit als aanwijzing (drie sterren in de meldingstekst of, wanneer Android de app wekt, een markering); de aanwijzing zelf noemt niemand. Apple of Google ontvangen deze gegevens en weten dat en wanneer een apparaat is gewekt. Berichtinhoud ontvangen zij niet.
• Apparaatcontrole bij het inloggen en bij uitnodigingen per sms (vanaf app-versie 1.1.11, bij uitnodigingen per sms vanaf 1.1.13 en pas zodra we die inschakelen): als je een inlogcode aanvraagt, laat de app door Apple (App Attest) of Google (Play Integrity) bevestigen dat het verzoek van de echte KindChat-app op een echt apparaat komt. Op iOS maakt de app daarvoor, als ze er nog geen heeft, aan het begin van het inloggen een apparaatsleutel aan en laat die één keer door Apple bevestigen. Een sleutel die ouder is dan 80 dagen, wordt bij de volgende keer inloggen vervangen; tot de nieuwe is bevestigd, blijft de oude gelden. Apple komt daarbij te weten dat en wanneer er op het apparaat een sleutel voor KindChat is aangemaakt, en ontvangt een controlewaarde uit een willekeurig getal van onze server, zonder je telefoonnummer. Op Android controleert Google bij elke aanvraag van een inlogcode het apparaat, de app en de licentiestatus daarvan voor de Google-accounts die op het apparaat zijn aangemeld, en ontvangt een controlewaarde uit een willekeurig getal van onze server, het soort verzoek en je telefoonnummer. Omdat Google het willekeurige getal nooit ontvangt, is het nummer daaruit niet terug te rekenen. Heeft je account nog geen apparaatbewijs, bijvoorbeeld omdat je sinds de invoering van de apparaatcontrole niet opnieuw bent ingelogd, dan controleert de app het apparaat op dezelfde manier wanneer je iemand per sms uitnodigt; op iOS maakt ze daarvoor een apparaatsleutel aan als er nog geen is. Op Android ontvangt Google dan een controlewaarde die bij elk verzoek opnieuw wordt gevormd uit het willekeurige getal van onze server en geen telefoonnummer bevat, ook niet dat van de uitgenodigde persoon; ze is niet tot je account te herleiden en niet met andere verzoeken te verbinden. Google bewaart de daarbij verzamelde gegevens, ook de controlewaarde, naar eigen zeggen gedurende een vaste termijn. Berichtinhoud en identificatoren van je KindChat-account ontvangen Apple en Google niet. De verwerking door Apple en Google kan in de VS plaatsvinden; het antwoord controleert onze server zelf, in de EU. De rechtsgrond is art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij het afweren van misbruik van sms'jes met inlogcodes en van uitnodigingen per sms).
• bij escalatie alleen intern opgeleide medewerkers of gespecialiseerde EU-dienstverleners met verwerkersovereenkomst
• geen doorgifte aan advertentienetwerken of datahandelaren, en niet voor het trainen van generatieve AI
• Sms: mobiele nummers en toestemming voor sms worden nooit voor marketing- of reclamedoeleinden doorgegeven aan derden of gelieerde ondernemingen, en je toestemming om sms te ontvangen geven we aan niemand door. KindChat stuurt naar je nummer alleen sms-berichten met inlogcodes en servicemeldingen; de aanbieders die ze afleveren, handelen in onze opdracht met verwerkersovereenkomst. Dat is in de regel seven.io (Kiel, Duitsland); die ontvangt voor inlogcodes, servicemeldingen en uitnodigings-sms het mobiele nummer en de tekst van de sms, en bewaart verzendlogs volgens eigen termijnen. Voor sommige landen (in eerste instantie Turkije) wordt de sms afgeleverd door Twilio Inc., gevestigd in de VS, dat daarvoor het mobiele nummer en de tekst van de sms ontvangt; dat geldt ook voor uitnodigings-sms'jes naar nummers in die landen. De doorgifte naar de VS berust op het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), waaronder Twilio is gecertificeerd, en anders op de standaardcontractbepalingen van de EU; een kopie is op verzoek verkrijgbaar via hi@kindchat.app.

Bij een wettelijke verplichting (bijv. een rechterlijk bevel) vindt doorgifte alleen plaats voor zover toegestaan.

4. Bewaartermijn en verwijdering

• Account/profiel tot verwijdering plus 30 dagen
• Meldingen dat iets onterecht is tegengehouden (zie 2.2): 36 maanden; meldingen van beschermde leden die ons toch bereiken: 12 maanden
• Berichtinhoud staat op onze servers end-to-end versleuteld (uitzonderingen: de supportchat en meldingen, zie 2.3). We verwijderen die daar, met de bijlagen, 30 dagen na het verzenden; is in een één-op-één-chat een van beide kanten, of in een groep een huidig lid, lid van Plus of van een Beschermkring, dan blijft die daar zolang dat geldt, behalve in chats met organisaties. Een bericht in een één-op-één-chat dat niet binnen 30 dagen kon worden bezorgd, verwijderen we met de bijlagen 30 dagen na het verzenden, ook als een van beide kanten lid van Plus of van een Beschermkring is; uitgezonderd zijn berichten die een melding als bewijs vasthoudt, en berichten aan KindChat Support totdat ons team ze heeft ontvangen. Een versleutelde back-up van je geschiedenis is gebouwd, maar nog niet beschikbaar; op dit moment bewaren we geen back-upkopie van je geschiedenis op onze servers. We vullen dit beleid aan voordat we de back-up inschakelen
• De naar de tweede controlestap gestuurde tekst wordt na de beslissing verwijderd; alleen met toestemming blijft een gepseudonimiseerde versie 36 maanden bewaard (zie 2.2)
• Apparaatsleutel uit de apparaatcontrole bij het inloggen (iOS): opgeslagen worden de identificator en de publieke sleutel ervan, een teller, de omgeving (ontwikkeling of productie) en drie datums zonder tijdstip, zonder kenmerk van een account en zonder IP-adres; voor de koppeling met het telefoonnummer, zie het volgende punt. Een sleutel die nooit is gebruikt, wordt 7 dagen nadat we hem hebben opgeslagen, verwijderd, een gebruikte 90 dagen na het laatste gebruik; omdat we alleen dagen opslaan en één keer per dag verwijderen, kan het tot ongeveer twee dagen langer duren. Op Android wordt het antwoord van Google gecontroleerd en niet opgeslagen.
• Koppeling tussen apparaatsleutel en telefoonnummer (iOS, pas zodra we die inschakelen): als op iOS een inlog- of herstelcode wordt aangevraagd, slaan we een controlewaarde van de identificator van de apparaatsleutel op, een controlewaarde van het telefoonnummer waarvoor de code wordt aangevraagd, het soort aanvraag (inloggen of herstel), of die werd toegelaten of naar een begrensd contingent verwezen, en de dag (zonder tijdstip). De controlewaarden vormen we met een eigen geheime sleutel. Dat is pseudonimisering, geen anonimisering: wie deze gegevens samen met die sleutel in handen had, zou de nummers kunnen terugrekenen; de sleutel staat daarom alleen in onze geheimenopslag, nooit in de database of in de back-ups daarvan. Het nummer in leesbare vorm, een IP-adres of een kenmerk van je account slaan we daarbij niet op. We gebruiken de gegevens alleen om sms-misbruik en nepaccounts tegen te gaan: we beperken voor hoeveel nummers één apparaat per dag codes kan aanvragen. Daarboven krijgt een nummer zonder KindChat-account zijn code alleen nog uit een krap begrensd contingent, dus mogelijk later of die dag niet meer; een nummer met account krijgt zijn code gewoon. Hetzelfde geldt voor een nummer zonder account als onze eigen controle uitvalt. Bij een bevestigd misbruik kunnen we een apparaatsleutel voor hoogstens 180 dagen onder dit contingent plaatsen en de betrokken nummers vinden; deze toewijzing (controlewaarde van de sleutel, dag, einde en een dossierverwijzing) verwijderen we zodra die afloopt. Over maatregelen tegen een account beslist altijd een mens. De gegevens worden na 30 dagen verwijderd; omdat we alleen dagen opslaan, kan het tot ongeveer een dag langer duren. Hoort een gegeven bij een misbruikgeval dat wij hebben bevestigd, dan bewaren we het tot 180 dagen als bewijs. Verwijder je je account, dan verwijderen we de gegevens bij het nummer van je account, behalve als ze bij zo'n geval horen. Op Android ontstaat zo'n koppeling niet. Rechtsgrond: art. 6 lid 1 sub f AVG (het tegengaan van misbruik van inlog-sms'en en van nepaccounts).
• Apparaatbewijs van je account: we slaan bij je account het tijdstip op waarop het voor het eerst een geldige apparaatcontrole heeft doorstaan, bij het inloggen of, vanaf app-versie 1.1.13, bij een uitnodiging per sms. Uitnodigingen per sms van accounts zonder dit bewijs worden tegengehouden; uitnodigingen via een link of via het deelmenu worden daardoor niet geraakt. Het tijdstip wordt samen met je account verwijderd, en de informatie die je bij een inzageverzoek (art. 15 AVG) krijgt, bevat het tijdstip. Rechtsgrond: art. 6 lid 1 sub f AVG (het tegengaan van misbruik van uitnodigingen per sms).
• Contactverzoeken: een verzoek dat onbeantwoord blijft, wordt 30 dagen na verzending verwijderd. Een geaccepteerd verzoek wordt 30 dagen na acceptatie verwijderd als de persoon dan bij je contacten staat. Heb je een verzoek afgewezen of een contact verwijderd, of is uit een geaccepteerd verzoek geen contact ontstaan, dan blijft er een aantekening bewaard zolang beide accounts bestaan, zodat dezelfde persoon je niet opnieuw een verzoek kan sturen (art. 6 lid 1 sub f AVG, bescherming tegen herhaald ongewenst contact). Een begeleidende tekst en de vermelding van de groep waarlangs het verzoek is gestuurd, verwijderen we 30 dagen na de beslissing. Logregels over wie aan wie een verzoek heeft gestuurd en hoe de ontvanger heeft beslist, zonder inhoud, worden na 12 maanden verwijderd.
• Blokkeren: blokkeer je iemand, dan slaan we ook het tijdstip op. Dat dient om je, voordat je lid wordt van een groep van een community, te laten weten of daar iemand is die je vóór je verzoek hebt geblokkeerd; deze functie is nog niet ingeschakeld. Hef je de blokkering op, dan verwijderen we het tijdstip, maar bewaren we de beëindigde periode (begin en einde) zolang beide accounts bestaan, ook nadat je een verwijderde persoon opnieuw hebt toegevoegd. Daarmee blijft voor jou verborgen waarop de persoon in die tijd in Pulse heeft gereageerd of wat die heeft gemarkeerd, en voor de persoon wat jij in die tijd hebt gelezen. Verwijder je een geblokkeerde persoon uit je contacten, dan neemt de aantekening over de verwijdering het tijdstip over en blijft die zoals hierboven beschreven bewaard (art. 6 lid 1 sub f AVG, bescherming tegen ongewenst contact). De informatie die je bij een inzageverzoek (art. 15 AVG) krijgt, bevat het tijdstip en je eigen beëindigde periodes.
• Berichten aan personen die je niet meer kunt bereiken: kan een bericht niet worden bezorgd, bijvoorbeeld omdat de andere persoon je niet (meer) als contact heeft of je die persoon niet meer kunt bereiken, dan bewaren we van dat bericht alleen wat je er zelf van ziet: aan wie het was, wanneer en of er een bijlage bij zat. De inhoud bewaren we niet, en de andere persoon ontvangt er niets van; voor jou ziet het eruit als elk ander bericht dat nog niet is bezorgd. We verwijderen deze gegevens na 30 dagen, uiterlijk na 12 maanden als een van beide kanten Plus-lid is, en meteen als een van beide accounts wordt verwijderd. Tot dan blijft een bijlage end-to-end versleuteld opgeslagen; wij kunnen die niet lezen en de andere persoon kan die niet ophalen (art. 6 lid 1 sub f AVG, gerechtvaardigd belang van beide kanten dat een blokkering of verwijdering niet herkenbaar wordt).
• Voor iedereen verwijderde berichten: verwijdert iemand een eigen bericht voor iedereen of verwijdert ons team een bericht, dan verwijderen wij de inhoud ervan van de server, tenzij een melding die als bewijs vasthoudt. Wij bewaren een bewijs zonder inhoud: controlesommen van een versleuteld groepsbericht en van een bijlage, hun verificatiemerken, de afleveringsgegevens (wie het wanneer aan wie heeft gestuurd en wie het wanneer heeft ontvangen of gelezen) en wie het wanneer heeft verwijderd (de persoon zelf of ons team). Daarmee kan worden gecontroleerd of een melding werkelijk dit bericht toont. Zonder melding verwijderen wij het bewijs na het einde van de 90e dag na de dag van verwijdering (UTC), doorgaans binnen een dag; met melding geldt de bewaring van de melding. Blijft de geschiedenis van een chat vanwege Plus of Beschermkring op de server staan (zie hierboven), dan blijft daar alleen het verwijderde bericht met zijn afleveringsgegevens in de geschiedenis staan. Zodra de app het melden van verwijderde berichten aanbiedt, bewaart bij een bericht dat de afzender zelf heeft verwijderd het apparaat van elke persoon aan wie het is getoond er gedurende dezelfde 90 dagen een verborgen kopie van; “Verwijderen voor mij” verwijdert die definitief. Een melding die zich niet laat controleren, wijzen wij aan niemand toe. Verwijdert de afzender zijn account, dan verwijderen wij zijn berichten samen met het bewijs; gedurende 90 dagen, gerekend vanaf het verwijderen van het bericht of van het account, blijft alleen een aantekening over aan wie ze gingen, en een melding is dan aan niemand meer toe te wijzen. De rechtsgrondslag is art. 6 lid 1 sub f AVG (bescherming van de ontvangers en behandeling van meldingen op grond van art. 16 DSA).
• Technische logs van onze app-server: maximaal 30 dagen, zonder berichtinhoud; bij enkele hulpdiensten stellen we de grens van 30 dagen nu in, tot dan worden ze op grootte overschreven.

Je account kun je op elk moment verwijderen in de app-instellingen; de verwijdering vindt dan binnen 30 dagen plaats, voor zover geen wettelijke verplichtingen dat verhinderen.

5. AI-transparantie volgens art. 50 van de AI-verordening

AI wordt uitsluitend ingezet voor classificatie, niet voor generatie; primair op het apparaat. We informeren je bij de onboarding, bij elke moderatiebeslissing (melding “Geautomatiseerde controle” plus een link naar de klachtprocedure) en op de website en in de app. Omdat er geen synthetische inhoud wordt gemaakt, bestaat er geen markeringsplicht volgens art. 50 lid 2.

Details: AI-transparantiepagina en Gebruiksvoorwaarden, artikel 3.

6. Je rechten (art. 15 tot 22 AVG)

Je hebt recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en intrekking van je toestemming. Daarnaast kun je een klacht indienen bij een toezichthoudende autoriteit, bijv. de Berlijnse toezichthouder voor gegevensbescherming en informatievrijheid (https://www.datenschutz-berlin.de).

Contact: hi@kindchat.app; antwoord binnen een maand (eventueel verlengd met 2 maanden).

7. Beveiliging van de verwerking

We nemen technische en organisatorische maatregelen volgens de stand van de techniek (E2EE via het Signal-protocol, AI op het apparaat, versleutelde externe kopie van de database, versleuteling van bijzonder gevoelige velden met eigen sleutels, toegangscontroles). Een restrisico valt niet volledig uit te sluiten.

8. Wijzigingen van dit privacybeleid

We passen dit beleid aan wanneer dat nodig is. Over wezenlijke wijzigingen informeren we je via een melding in de app of per e-mail, met een redelijke termijn. De actuele versie is altijd op deze pagina (/nl/privacy/) te vinden.

9. Gegevensverwerking op deze website (kindchat.app)

Wachtlijst (beëindigd): de wachtlijst uit de bètafase wordt niet voortgezet, en via deze website is inschrijven niet meer mogelijk. Nog aanwezige adressen verwerken we uitsluitend om de afmeldlink uit al verzonden e-mails te laten werken. Rechtsgrond: toestemming (art. 6 lid 1 sub a AVG). Intrekken kan altijd via die link; daarna wordt het adres gewist.

Hosting van de website: Hetzner Online GmbH in Duitsland (Falkenstein), met verwerkersovereenkomst.

E-mail: onze mailboxen op kindchat.app, zoals hi@kindchat.app, en de e-mails die wij versturen lopen via united-domains AG.

Bereikmeting (analytics): we gebruiken Umami, zelf gehost in de EU en privacyvriendelijk. Het plaatst geen cookies, slaat niets op je apparaat op, maakt geen persoonlijke profielen en maakt geen tracking over websites heen mogelijk. Er worden alleen geaggregeerde, anonieme bezoekersaantallen vastgelegd. Google Analytics wordt niet gebruikt. Rechtsgrond: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

Toezichthoudende autoriteit: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstraße 219, 10969 Berlin.

10. Contact

sonrisa ventures GmbH, gegevensbescherming, e-mail hi@kindchat.app.