Privacybeleid

Dit is een vertaling ter informatie; de Duitse versie is bindend.

Laatst bijgewerkt: september 2026

KindChat, een end-to-end versleutelde messenger met AI-bescherming op het apparaat. AVG-conform, geen tracking, geen profilering.

Verwerkingsverantwoordelijke: sonrisa ventures GmbH, Kleiststraße 35, 10787 Berlin, Duitsland · hi@kindchat.app

Functionaris voor gegevensbescherming: José M. Díaz Delgado · hi@kindchat.app

1. Algemeen en beginselen

Onze verwerking volgt deze beginselen:

• Eerst op het apparaat: de AI-moderatie draait primair lokaal op je apparaat. Voor de normale moderatie wordt geen berichtinhoud naar servers verzonden.
• End-to-end-versleuteling (E2EE): de aanbieder heeft in beginsel geen toegang tot leesbare tekst.
• Geen tracking, geen profilering.
• Transparantie & dataminimalisatie.
• Hosting in de EU.

Dit beleid voldoet aan de informatieplichten van art. 13/14 AVG, art. 50 van de AI-verordening en de Digital Services Act (DSA).

2. Welke gegevens we verwerken en waarom

2.1 Registratie en account (verplichte gegevens)

• Telefoonnummer (identificatie en E2EE via het Signal-protocol)
• Apparaattoken voor pushmeldingen (APNs/FCM, standaard-verwerkersovereenkomst)
• App-versie, besturingssysteem, apparaatmodel

Doel: levering van de dienst, authenticatie, bezorging. Rechtsgrond: art. 6 lid 1 sub b AVG. Bewaartermijn: tot verwijdering van het account, plus wettelijke termijnen.

2.2 AI-moderatie op het apparaat (kernfunctie)

De classificatie van tekst, beeld, video en audio vindt plaats op je apparaat. De modellen staan op het apparaat. In twijfelgevallen raadpleegt je apparaat de tweede controlestap (zie 2.3).

Alleen met jouw toestemming: bijdragen aan het verbeteren van de moderatie. In de app-instellingen onder Privacy kun je “Help moderatie te verbeteren” inschakelen. Staat de schakelaar aan, dan bewaren we bij beslissingen van de tweede controlestap de gecontroleerde tekst in gepseudonimiseerde vorm, dat wil zeggen met vervangen namen, telefoonnummers en e-mailadressen, samen met taal, categorie en beslissing. Deze gegevens bevatten geen identificatie van je account en geen verwijzing naar jou. Ze dienen om ons eigen moderatiemodel te toetsen en verder te ontwikkelen. De schakelaar staat standaard uit, en je kunt hem op elk moment weer uitschakelen; daarna wordt over je berichten niets meer bewaard. Zonder deze toestemming wordt de gecontroleerde tekst na de beslissing verworpen.

Doel: toetsing en verdere ontwikkeling van de moderatiekwaliteit. Rechtsgrond: art. 6 lid 1 sub a AVG (toestemming), herroepbaar. Bewaartermijn: 36 maanden, daarna automatische verwijdering. Opslaglocatie: uitsluitend EU.

Doel: bescherming tegen schadelijke inhoud. Rechtsgrond: art. 6 lid 1 sub f AVG en art. 6 lid 1 sub a (toestemming bij de Beschermkring). Zie AI-transparantie.

2.3 Tweede controlestap op EU-infrastructuur (twijfelgeval)

Kan de controle op het apparaat niet met zekerheid beslissen, dan stuurt je apparaat de betreffende tekst en maximaal vijf voorafgaande berichten uit het gesprek naar onze eigen moderatiedienst op EU-infrastructuur. Dat gebeurt vóór de versleuteling en door je apparaat zelf. Wij ontsleutelen geen berichten, noch opgeslagen, noch verzonden, ook niet in uitzonderingsgevallen: de daarvoor benodigde sleutels staan uitsluitend op de apparaten. Het verzoek is ter voorkoming van misbruik geauthenticeerd, maar bevat geen identificatie van de betrokken personen, en de verzonden tekst wordt na de beslissing verworpen.

Doel: bescherming tegen ernstige schade; meldplichten bij strafbare feiten. Rechtsgrond: art. 6 lid 1 sub f en eventueel sub c. Wistermijn: de gecontroleerde tekst wordt na de beslissing verworpen. Alleen met jouw toestemming blijft een gepseudonimiseerde versie bewaard (zie 2.2). Technische logs zonder berichtinhoud: max. 30 dagen, behalve bij een wettelijke bewaarplicht. Geen doorgifte, behalve aan verwerkers met een verwerkersovereenkomst, uitsluitend in de EU.

2.4 Spraakberichten / spraaktranscriptie

Spraakberichten zijn momenteel gepauzeerd: actuele app-versies (vanaf 1.1.1) kunnen geen spraakberichten meer opnemen, verzenden of afspelen. Zolang oudere app-versies de functie nog bevatten, geldt daarvoor: geautomatiseerde transcriptie uitsluitend op het apparaat; bij escalatie wordt alleen de transcriptietekst voor de inhoudsclassificatie op EU-infrastructuur gecontroleerd, nooit het audiobestand. Uitsluitend inhoudsherkenning, geen emotieherkenning (art. 50 lid 3 van de AI-verordening); er worden geen biometrische gegevens opgeslagen. Rechtsgrond als bij 2.2/2.3.

2.5 Beschermkring-functie (optioneel)

• Toestemming van de beschermde persoon
• Instellingen en metagegevens van de beschermingsrelatie (niet de inhoud!)
• Meldingen over beschermingsmaatregelen

Doel: ondersteuning bij het beheer van contacten en beschermingsmaatregelen. Rechtsgrond: art. 6 lid 1 sub a (toestemming, herroepbaar). Niemand krijgt inzage in berichtinhoud.

2.6 Technische en beveiligingsgegevens

• IP-adres (kortstondig, voor beveiliging en misbruikpreventie)
• Crash- en foutmeldingen (geanonimiseerd of met toestemming)
• geaggregeerde gebruiksstatistieken

Rechtsgrond: art. 6 lid 1 sub f.

2.7 Geen verdere gegevens

Je adresboek verlaat nooit je apparaat. Als je via de uitnodigingsfunctie vrienden wilt uitnodigen, kan de app op jouw verzoek je contactenlijst lezen, uitsluitend lokaal op je apparaat en alleen zodat je de personen kunt kiezen die je wilt uitnodigen. Het adresboek wordt niet geüpload en niet opgeslagen; alleen de nummers van de door jou uitdrukkelijk bevestigde ontvangers worden eenmalig gebruikt voor het versturen van de uitnodigings-sms en niet bewaard. Geen locatiegegevens (behalve bij expliciet gebruik van een functie met toestemming), geen inhoud voor advertenties of voor het trainen van externe modellen.

2.8 Kinderen en jongeren in een Beschermkring

Vanaf de activering van deze functie, naar verwachting half september 2026, kunnen personen vanaf 13 jaar KindChat gebruiken als beschermd lid van een Beschermkring. De rechtsgrondslag voor het account is de overeenkomst die de meerderjarige houder van de Beschermkring sluit (art. 6, lid 1, onder b, AVG); de rechtsgrondslag voor de zorgfuncties is diens toestemming als gezaghebbende (art. 8, lid 1, AVG), die uitdrukkelijk wordt gegeven bij het aanmaken van de oudercode. Er wordt dan naar een leeftijdscategorie gevraagd, niet naar een geboortedatum: bij registratie en bij een aanmelding op een nieuw apparaat, voor zover de leeftijdscategorie van het account nog niet is opgeslagen. Alleen de daaruit afgeleide leeftijdscategorie, het moment en het land worden bewaard. Bij beschermde leden komen daarbij: het moment en de versie van de verklaring van de houder, de identificatoren van de Beschermkring en de houder, de status van de vrijgaveplicht en eventueel de datum waarop het account is gepauzeerd. De houder geeft nieuwe contacten en groepsdeelnames vrij. Daarbij ziet hij de weergavenaam van de verzoekende persoon en, als het beschermde lid zelf de uitnodigingscode van die persoon heeft ingevoerd, ook die code; bij groepen de groepsnaam, de uitnodigende persoon en het aantal leden. Hij heeft geen toegang tot berichten, gesprekken of locatie. Het beschermde lid ziet in de app altijd dat de vrijgaveplicht actief is en welke zorgfuncties de houder heeft verleend; heimelijk toezicht bestaat niet. Wie een beschermd lid een contactverzoek stuurt of in een groep uitnodigt, moet weten: de weergavenaam, bij groepen de groepsnaam en het aantal leden, worden aan de houder van de beschermingskring ter vrijgave getoond, de eigen uitnodigingscode alleen als het beschermde lid die heeft ingevoerd; meer komt de houder over de aanvrager niet te weten. Besliste verzoeken worden 90 dagen na de beslissing verwijderd. De vrijwillige toestemming "Help moderatie verbeteren" is niet beschikbaar voor beschermde leden. Bij de eerste start krijgen beschermde leden een begrijpelijke samenvatting van deze verklaring (art. 12 AVG).

3. Ontvangers / verwerkers

• Hosting in de EU met verwerkersovereenkomst (bijv. Hetzner, STACKIT of vergelijkbaar), geen doorgifte naar derde landen voor inhoudsgegevens
• Push: Apple/Google (standaard-verwerkersovereenkomst, dataminimalisatie). Verzonden wordt een wekseintje zonder inhoud naar het pushadres van het toestel; Apple of Google weten daardoor dat en wanneer een toestel is gewekt. De inhoud, de afzender of de chat kennen zij niet.
• bij escalatie alleen intern opgeleide medewerkers of gespecialiseerde EU-dienstverleners met verwerkersovereenkomst
• geen doorgifte aan advertentienetwerken of datahandelaren, en niet voor het trainen van generatieve AI
• Sms: mobiele nummers en toestemming voor sms worden nooit voor marketing- of reclamedoeleinden doorgegeven aan derden of gelieerde ondernemingen, en je toestemming om sms te ontvangen geven we aan niemand door. KindChat stuurt naar je nummer alleen sms-berichten met inlogcodes en servicemeldingen; de aanbieders die ze afleveren, handelen in onze opdracht met verwerkersovereenkomst. Voor sommige landen (in eerste instantie Turkije) wordt de sms afgeleverd door Twilio Inc., gevestigd in de VS, dat daarvoor het mobiele nummer en de tekst van de sms ontvangt; dat geldt ook voor uitnodigings-sms'jes naar nummers in die landen. De doorgifte naar de VS berust op het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), waaronder Twilio is gecertificeerd, en anders op de standaardcontractbepalingen van de EU; een kopie is op verzoek verkrijgbaar via hi@kindchat.app.

Bij een wettelijke verplichting (bijv. een rechterlijk bevel) vindt doorgifte alleen plaats voor zover toegestaan.

4. Bewaartermijn en verwijdering

• Account/profiel tot verwijdering plus 30 dagen
• Berichtinhoud alleen versleuteld op de apparaten; de aanbieder slaat die niet permanent op. Uitzondering is de versleutelde back-up (onderdeel van Plus): schakel je die in, dan staat er een versleutelde kopie van je geschiedenis op onze servers in de EU, die alleen je herstelcode kan openen. Die wordt gewist zodra je de back-up uitschakelt of je account verwijdert
• De naar de tweede controlestap gestuurde tekst wordt na de beslissing verworpen; alleen met toestemming blijft een gepseudonimiseerde versie 36 maanden bewaard (zie 2.2)
• technische logs max. 90 dagen

Je account kun je op elk moment verwijderen in de app-instellingen; de verwijdering vindt dan binnen 30 dagen plaats, voor zover geen wettelijke verplichtingen dat verhinderen.

5. AI-transparantie volgens art. 50 van de AI-verordening

AI wordt uitsluitend ingezet voor classificatie, niet voor generatie; primair op het apparaat. We informeren je bij de onboarding, bij elke moderatiebeslissing (melding “Geautomatiseerde controle” plus een link naar de klachtprocedure) en op de website en in de app. Omdat er geen synthetische inhoud wordt gemaakt, bestaat er geen markeringsplicht volgens art. 50 lid 2.

Details: AI-transparantiepagina en Gebruiksvoorwaarden, artikel 3.

6. Je rechten (art. 15 tot 22 AVG)

Je hebt recht op inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en intrekking van je toestemming. Daarnaast kun je een klacht indienen bij een toezichthoudende autoriteit, bijv. de Berlijnse toezichthouder voor gegevensbescherming en informatievrijheid (https://www.datenschutz-berlin.de).

Contact: hi@kindchat.app; antwoord binnen een maand (eventueel verlengd met 2 maanden).

7. Beveiliging van de verwerking

We nemen technische en organisatorische maatregelen volgens de stand van de techniek (E2EE via het Signal-protocol, AI op het apparaat, versleuteling van opgeslagen gegevens, toegangscontroles, regelmatige audits). Een restrisico valt niet volledig uit te sluiten.

8. Wijzigingen van dit privacybeleid

We passen dit beleid aan wanneer dat nodig is. Over wezenlijke wijzigingen informeren we je via een melding in de app of per e-mail, met een redelijke termijn. De actuele versie is altijd op deze pagina (/nl/privacy/) te vinden.

9. Gegevensverwerking op deze website (kindchat.app)

Wachtlijst (beëindigd): de wachtlijst uit de bètafase wordt niet voortgezet, en via deze website is inschrijven niet meer mogelijk. Nog aanwezige adressen verwerken we uitsluitend om de afmeldlink uit al verzonden e-mails te laten werken. Rechtsgrond: toestemming (art. 6 lid 1 sub a AVG). Intrekken kan altijd via die link; daarna wordt het adres gewist.

Hosting van de website: united-domains AG, regio eu-central-1, Frankfurt am Main; verwerkersovereenkomst inclusief EU-standaardcontractbepalingen.

Bereikmeting (analytics): we gebruiken Umami, zelf gehost in de EU en privacyvriendelijk. Het plaatst geen cookies, slaat niets op je apparaat op, maakt geen persoonlijke profielen en maakt geen tracking over websites heen mogelijk. Er worden alleen geaggregeerde, anonieme bezoekersaantallen vastgelegd. Google Analytics wordt niet gebruikt. Rechtsgrond: gerechtvaardigd belang (art. 6 lid 1 sub f AVG).

Toezichthoudende autoriteit: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstraße 219, 10969 Berlin.

10. Contact

sonrisa ventures GmbH, gegevensbescherming, e-mail hi@kindchat.app.