Privacyverklaring

Knift

Wie verantwoordelijk is

Idyia Maritime Projects B.V.
privacy@knift.nl

Kort samengevat

Recepten, boodschappenlijst en eigen prijzen staan op je apparaat en blijven daar — daarvoor heb je geen account nodig. Een account heb je nodig voor drie dingen: het betaalde deel (daar hoort „Goedkoop koken" bij), synchronisatie tussen je eigen apparaten en het delen van aanbiedingen, prijzen en eigen recepten met anderen.

We slaan geen naam, geen e-mailadres en geen profielfoto op — ook niet van Google.

Wat we opslaan als je een account aanmaakt

Je Google-kenmerk („sub") — een reeks cijfers die alleen samen met de gegevens van Google naar jou verwijst —, plus wanneer het account is aangemaakt en wanneer het voor het laatst is gebruikt. Grondslag: overeenkomst (art. 6 lid 1 sub b AVG).
Actieve sessies: een hash van de sessiesleutel (niet de sleutel zelf), twee tijdstempels en of het een inlog van de app of van de browser is. Ze verlopen na 90 dagen en worden dan verwijderd. Meld je je in de browser aan (je eigen omgeving onder /mein), dan geldt hetzelfde — als cookie dat na 12 uur verloopt.
Je recht op het betaalde deel: wanneer je proefperiode is begonnen en, als wij je handmatig vrijgeven, tot wanneer die vrijgave geldt. Of en tot wanneer je recht hebt, slaan we niet apart op — dat berekenen we daaruit en uit je abonnement. Bij een abonnement via Google Play daarbij het aankoopbewijs (aankooptoken), product en plan, de status van het abonnement en de einddatum — maar niet je betaalgegevens, die ziet alleen Google. Om een aankoop te koppelen aan het account dat ervoor betaald heeft, geeft de app Google Play bij de aankoop een koopkenmerk mee: een waarde die wij met een geheime sleutel uit je Google-kenmerk berekenen en waaruit dat kenmerk niet terug te rekenen is. Google bewaart die bij de aankoop en geeft die ons bij elke controle van de aankoop terug; wij slaan die niet op, maar berekenen die zo nodig opnieuw — daarom past die ook na het verwijderen van je account weer als je je met hetzelfde Google-account opnieuw aanmeldt. De betaling zelf handelt Google Play af; daarvoor is Google zelfstandig verwerkingsverantwoordelijke (privacyverklaring van Google). Grondslag: overeenkomst (art. 6 lid 1 sub b AVG).
Verwijdercodes, als je er een aanvraagt: 30 minuten geldig, daarna verwijderd.
Na het verwijderen van je account: een controlewaarde voor de proefperiode, als je de gratis proefperiode in de afgelopen 12 maanden hebt gestart of in de afgelopen 12 maanden je eerste abonnement hebt gekocht. Die bestaat uit een tekenreeks die wij met een geheime sleutel uit je Google-kenmerk berekenen (HMAC-SHA256) en waaruit dat kenmerk niet terug te rekenen is, en de dag tot wanneer die geldt — geen kenmerk, geen account, verder niets. De sleutel staat los van de database en niet in de back-ups daarvan. Log je tot dan opnieuw in met hetzelfde Google-account, dan zien we daaraan dat de proefperiode verbruikt is, en die begint niet opnieuw; in je inzage staat de controlewaarde dan ook. Ze wordt 12 maanden na het begin van de proefperiode verwijderd en, als je een abonnement hebt gekocht, 12 maanden na je eerste aankoop — de latere van die twee dagen geldt. Doel: de gratis proefperiode moet er niet bij elke nieuwe aanmelding met hetzelfde Google-account opnieuw zijn. Grondslag: gerechtvaardigd belang erbij dat de proefperiode niet door verwijderen en opnieuw aanmelden onbeperkt vaak wordt gebruikt (art. 6 lid 1 sub f AVG). Je kunt daartegen bezwaar maken (art. 21 AVG, zie „Je rechten").

Wat je zelf uploadt

Je gegevenspakket, als je de synchronisatie gebruikt: je zelfgeschreven recepten, je eigen prijzen en welke je daarvan hebt verwijderd (van een verwijderde prijs de winkel, de naam en het tijdstip, zodat die ook op je tweede apparaat verdwijnt; elke verwijdering 180 dagen lang, hoogstens de laatste 500), je filialen met adres, de postcode van je huishouden, je boodschappenstatistiek, de lopende boodschappenlijst en de lijst met gekochte gerechten. Van de gerechten van Knift gaat alleen een kenmerk mee — plus titel, taal, je eigen beoordeling en je vinkjes voor basisingrediënten; de tekst heeft elke app zelf of haalt die zonder inloggen bij ons op. De server bewaart het pakket en geeft het terug aan je tweede apparaat; voor ons analyseert hij het niet. Alleen als je onder „Mijn omgeving" je statistiek opent, rekent hij die daaruit voor je uit — uit je boodschappenstatistiek en de titels van je gerechten.
Van recepten die je van een andere website hebt geïmporteerd gaat alleen het adres mee — plus titel, taal, je eigen beoordeling en je vinkjes voor basisingrediënten. De recepttekst zelf verlaat je apparaat niet. Je tweede apparaat haalt die zelf bij de bronwebsite op; in de browser loopt dat via de externe dienst api.allorigins.win, die daarbij het receptadres ziet. In de Android-app haalt je apparaat het rechtstreeks op.
Bijdragen aan aanbiedingen, gewone prijzen en ingrediënt-koppelingen, als je iets bijdraagt. Daarbij hoort een ruwe regio, afgeleid van je postcode (twee cijfers plus land, bijv. „nl-80") — niet de volledige postcode, geen adres, geen coördinaten.
Meldingen, als je een onjuiste vermelding meldt.
Door jou gepubliceerde recepten, als je een zelfgeschreven recept voor iedereen vrijgeeft: titel, ingrediënten, bereiding, porties, tijd, taal en de weergavenaam die je daarbij kiest (of geen). Ze hangen aan je account, je kunt ze altijd intrekken, ze zitten in de inzage en gaan mee als je je account verwijdert. Zichtbaar voor anderen worden ze pas na vrijgave door de beheerder; melden andere gebruikers een recept, dan halen we het uit de lijst.
Een blokkade voor publiceren, als wij je het publiceren van recepten ontzeggen (artikelen 6 en 9 van de gebruiksvoorwaarden) of als twee van je recepten na meldingen van anderen uit de lijst zijn gehaald: sinds wanneer, en bij een blokkade door ons de reden die we daarbij invullen. Je ziet beide onder „Mijn omgeving", in de app en in de inzage. Doel: vreemde, onjuiste of ongepaste inhoud uit het gezamenlijke receptenboek houden en je vertellen waarom. Grondslag: overeenkomst (art. 6 lid 1 sub b AVG) en gerechtvaardigd belang bij een betrouwbaar receptenboek (art. 6 lid 1 sub f AVG). Duur: een blokkade door ons tot we die opheffen of je je account verwijdert; die na meldingen zolang de gemelde recepten aan je account hangen. Al het andere aan je account — bijdragen, synchroniseren, intrekken — blijft ongemoeid.

Bijdragen en meldingen hangen aan je account, zodat „door onafhankelijke accounts bevestigd" — minstens twee, bij veel bijdragers meer — überhaupt te controleren is. Ze gaan mee als je je account verwijdert.

Gebruikscijfers (alleen met jouw toestemming)

Als je de schakelaar in de app aanzet, slaan we alleen dagtotalen op: welke gebeurtenis hoe vaak plaatsvond, met app-versie en datum. Zonder afzender — de tabel heeft geen kolom voor een account, deze cijfers zijn aan niemand toe te wijzen, ook niet aan ons. Geen recepten, geen producten, geen prijzen, geen zoektermen, geen tijdstippen. Ze worden na 90 dagen verwijderd. Grondslag: toestemming (art. 6 lid 1 sub a AVG); je kunt die op elk moment in de app intrekken, dan wordt er niets meer geteld en wordt de lokale teller gewist.

Serverlogboek

De dienst zelf houdt bij welk pad met welk resultaat is aangeroepen — zonder afzender: geen IP-adres, geen kenmerk, geen browsergegevens en zonder het vraaggedeelte van het adres. De webserver ervóór (nginx) schrijft per aanroep daarnaast het tijdstip, het volledige adres met vraaggedeelte (dus ook regio, zoekterm en gekozen filters, bijvoorbeeld „zonder varkensvlees"), het resultaat en de grootte — ook zonder IP-adres. Alleen bij technische storingen (bijvoorbeeld tijdens een herstart) en bij onversleutelde aanroepen via http:// schrijft hij ook het IP-adres, bij http daarbij de browsergegevens. Al deze bestanden worden na 14 dagen verwijderd. Grondslag: gerechtvaardigd belang bij veilige werking en het opsporen van fouten (art. 6 lid 1 sub f AVG).

Wie de gegevens verder ziet

Google, omdat het inloggen via een Google-account loopt. Google komt daarbij te weten dat je bij deze dienst inlogt. Het aanmeldbericht van Google aan ons bevat naast je kenmerk ook je naam, je e-mailadres en een link naar je profielfoto. Wij lezen daaruit alleen het kenmerk en slaan verder niets op.
Google Play, als je een abonnement koopt. De app geeft Google daarbij het hierboven genoemde koopkenmerk mee — een uit je Google-kenmerk berekende waarde waaruit dat kenmerk niet terug te rekenen is. Meer geven we Google niet: geen naam, geen adres, niets uit je recepten, lijsten of prijzen. Google bewaart het koopkenmerk bij de aankoop en geeft het ons terug als we de aankoop controleren. De betaling zelf handelt Google als zelfstandig verwerkingsverantwoordelijke af.
Google meldt ons beveiligingsincidenten rond je Google-account (Cross-Account Protection): als het gekaapt, geblokkeerd of verwijderd is of je daar alle sessies hebt ingetrokken. Wij beëindigen dan je aanmeldingen bij deze dienst — meer niet. Van de melding bewaren we niets behalve het aantal gebeurtenissen in het serverlogboek, zonder kenmerk. Grondslag: gerechtvaardigd belang bij de bescherming van je account (art. 6 lid 1 sub f AVG).
De aanbieder van de server waarop deze dienst draait.

Je bevestigde bijdragen aan aanbiedingen, prijzen en koppelingen zien andere gebruikers in jouw regio — maar zonder enige aanwijzing van wie ze komen.

Je rechten

Inzage (art. 15): Je kunt op elk moment een volledige kopie opvragen: in de app onder Instellingen → Account → „Mijn gegevens opvragen" of in de browser onder „Mijn omgeving" → „Inzage openen". Die komt als pagina die je kunt bewaren of doorgeven. In de Android-app staat het bestand daarvoor in de privé-tussenopslag van de app; daar wordt het verwijderd bij de volgende keer delen, bij de volgende start van de app of na het verwijderen van je account, zodra het ouder is dan 10 minuten — zo lang heeft de app waaraan je het geeft het misschien nog nodig —, en meteen bij „Alles wissen". Hetzelfde levert het pad /v1/auskunft met je inlog. Op verzoek sturen we die binnen 30 dagen.
Verwijdering (art. 17): In de app onder Instellingen → Account; zonder app in de browser onder „Mijn omgeving" → „Account verwijderen" (inloggen met Google, zonder code) of via de pagina /loeschen met een verwijdercode.
Rectificatie, beperking, dataportabiliteit (art. 16, 18, 20) — schrijf ons op het adres hierboven.
Bezwaar (art. 21) tegen de controlewaarde voor de proefperiode: schrijf ons op het adres hierboven. Omdat we de controlewaarde alleen via je Google-kenmerk kunnen vinden, log je daarvoor met hetzelfde Google-account in onder /mein en stuur je ons het kenmerk dat daar staat. Daarbij ontstaat een nieuw, leeg account; verwijder het meteen daar onder „Mijn omgeving" → „Account verwijderen", of schrijf erbij dat we het weer moeten verwijderen — dat doen we dan handmatig. Omdat het geen proefperiode en geen aankoop heeft, blijft daarvan geen nieuwe controlewaarde staan. We verwijderen de controlewaarde dan.
Intrekken van de toestemming voor gebruikscijfers: in de app onder Instellingen → Account, zolang je bent ingelogd, zonder opgaaf van redenen. Zonder inlog worden er sowieso geen cijfers verstuurd — de schakelaar heeft een account nodig.
Klacht bij de toezichthouder voor gegevensbescherming van je woonland (in Nederland: de Autoriteit Persoonsgegevens).

Hoe lang iets blijft

Account, gegevenspakket en bijdragen: tot je het account verwijdert.
Sessies: 90 dagen, in de browser 12 uur. Verwijdercodes: 30 minuten.
Gebruikscijfers: 90 dagen. Serverlogboek: 14 dagen.
Controlewaarde voor de proefperiode na het verwijderen van een account: 12 maanden vanaf het begin van de proefperiode en vanaf de eerste aankoop — de latere dag geldt.
Back-ups: Van de database worden regelmatig reservekopieën gemaakt; we bewaren er hoogstens 14 — per dag de jongste, plus de stand van vóór de laatste ombouw van de database. Een verwijderd gegeven kan daarom nog zo’n twee weken in een back-up staan, tot die volgens schema wordt overschreven. Uit de back-ups wordt niets geanalyseerd; ze dienen alleen voor herstel.

Wijzigingen

Verandert wat er wordt opgeslagen, dan verandert deze pagina mee. Ze hoort bij het programma en wordt samen daarmee uitgeleverd.

Startpagina · Gebruiksvoorwaarden · Account verwijderen