1. De korte versie
- Je berichten — foto's, video's, bijschriften, reacties, emoji-reacties — zijn end-to-end versleuteld. We slaan ze alleen op als cijfertekst en kunnen ze niet lezen.
- We bewaren het minimum dat nodig is om de dienst te laten draaien: je e-mailadres en naam, en onvermijdelijke metadata (wie in een space zit, wanneer iets gebeurt, hoeveel media er is).
- We tonen geen advertenties, gebruiken geen tracking- of advertentiecookies en verkopen of verhuren je gegevens nooit.
- Niets van wat je schrijft wordt ooit gebruikt om AI te trainen. Vertaling gebeurt waar mogelijk op je toestel; AI-vertaling in de cloud is opt-in en wordt hieronder uitgelegd.
- Je kunt op elk moment alles exporteren en je account verwijderen.
De rest van dit document is de uitwerking van die vijf punten. Wil je precies weten hoe de versleuteling je beschermt, lees dan onze beveiligingswhitepaper.
2. Wie wij zijn
Moments ("Moments", "wij", "ons") levert de Moments-app — een privaat, end-to-end versleuteld dagboek waarmee gezinnen het leven van een kind vastleggen. Dit beleid geldt voor de mobiele en desktop-apps van Moments en voor deze website. Wij zijn de verwerkingsverantwoordelijke voor de persoonsgegevens die hier worden beschreven.
3. Wat wij niet kunnen zien
Dit is de kern van het beleid. Alles wat je plaatst, wordt op je toestel versleuteld met sleutels die alleen op de toestellen van je familie bestaan. Onze servers ontvangen en bewaren cijfertekst en ingepakte (versleutelde) sleutels — nooit iets dat ze kunnen ontsleutelen.
Door dit ontwerp hebben wij geen enkele mogelijkheid om:
- je foto's, video's, bijschriften, reacties of emoji-reacties te bekijken;
- de naam of geboortedatum van je kind te lezen (beide versleuteld);
- je inhoud aan wie dan ook te overhandigen — een medewerker, een aanvaller of een instantie met een geldig bevel — omdat we geen sleutel hebben die ze opent.
Een volledige inbraak in onze systemen zou de metadata uit sectie 4 blootleggen, en nul inhoud. Dat is een eigenschap van de architectuur, geen belofte die je op goed vertrouwen van ons moet aannemen.
4. Wat wij verzamelen
Accountgegevens
Wanneer je je registreert, bewaren we je e-mailadres en de naam die je kiest. We gebruiken wachtwoordloos inloggen, dus we bewaren geen wachtwoord van jou — er is niets dat bij een inbraak kan uitlekken.
Je inhoud (als cijfertekst)
We slaan je versleutelde berichten en media op als ondoorzichtige blobs, plus de versleutelde sleutels die ze inpakken. We kunnen daar niets van lezen (sectie 3).
Metadata die wij noodzakelijkerwijs zien
Om een gedeeld, gestructureerd dagboek te kunnen leveren, is bepaalde informatie zichtbaar voor onze servers. We beperken die tot het minimum dat de dienst nodig heeft:
| Metadata | Waarom het zichtbaar is |
|---|---|
| Lidmaatschap van een space & rollen | Om elk bericht bij de juiste leden te bezorgen en rechten af te dwingen |
| Tijdstempels & de gebeurtenisdatum van een bericht | Om de feed te ordenen en het leeftijdsfilter en de tijdlijn mogelijk te maken (de geboortedatum die nodig is om een datum in een leeftijd om te zetten, blijft versleuteld) |
| Mediatype, -grootte en -aantal | Om bestanden op te slaan en te leveren en de juiste plaatshouders te tonen |
| Of een bericht als "Beveiligd" is gemarkeerd | De app moet dit weten voordat hij iets ontsleutelt; het onthult één bit en geen inhoud |
Technische gegevens
Zoals elke onlinedienst verwerken onze servers het IP-adres en basale toestel-/app-informatie die aan verzoeken is gekoppeld, en houden ze kortstondige operationele logs bij om de dienst te laten draaien, misbruik te voorkomen en problemen te diagnosticeren. Deze logs bevatten je inhoud niet.
5. Hoe wij informatie gebruiken
We gebruiken de beperkte gegevens hierboven uitsluitend om:
- je te verifiëren en ingelogd te houden;
- berichten, reacties en emoji-reacties te bezorgen bij de mensen die jij hebt gekozen, en je rechten af te dwingen;
- inhoudsloze pushmeldingen te sturen (sectie 8);
- opt-in vertaalverzoeken door te geven (sectie 7);
- de dienst veilig, betrouwbaar en vrij van misbruik te houden;
- de facturatie van betaalde abonnementen af te handelen via een betalingsverwerker (we zien nooit volledige kaartnummers);
- je supportvragen te beantwoorden.
6. Wat wij nooit doen
- We tonen nooit advertenties en gebruiken geen advertentie- of analysetrackers op je inhoud.
- We verkopen, verhuren of verhandelen je persoonsgegevens nooit.
- We gebruiken je inhoud nooit om AI te trainen of om advertentieprofielen op te bouwen.
- We doorzoeken je foto's nooit op gezichten, voorwerpen of locaties — dat kunnen we niet; ze zijn versleuteld.
- We bewaren geen kopie van je sleutels. Er is geen key escrow en geen achterdeur.
7. Vertaling & AI van derden
Moments kan berichten en reacties naar jouw taal vertalen, en waar mogelijk gebeurt dat nu volledig op je toestel: op Android wordt de tekst, na een kleine eenmalige taaldownload, lokaal vertaald en verlaat hij de versleutelde envelop nooit — er komt geen derde partij aan te pas.
AI-vertaling in de cloud blijft bestaan voor platforms die nog geen ondersteuning op het toestel hebben, en voor de optionele knop "Verbeteren met AI". Omdat die de tekst moet kunnen lezen, is dit de ene plek waar inhoud bewust de versleutelde envelop verlaat — en daarom is het strikt opt-in en op basis van toestemming.
- Er wordt niets naar de cloud gestuurd voordat jij erom vraagt, en niet voordat een toestemmingsdialoog dit heeft uitgelegd.
- Wanneer je een AI-vertaling in de cloud aanvraagt, ontsleutelt je toestel de tekst lokaal en stuurt het die, via een versleutelde verbinding door onze servers, door naar een AI-vertaaldienst van een derde partij.
- We loggen of bewaren de tekst niet, en hij wordt niet gebruikt om modellen te trainen.
- Elk resultaat — op het toestel of uit de cloud — wordt versleuteld en uitsluitend op je toestel gecachet.
De eerlijke afweging: voor de duur van een cloud-AI-aanroep is de tekst leesbaar tijdens de overdracht naar ons en naar de AI-aanbieder. Vertaling op het toestel neemt dit volledig weg — en als je cloudvertaling nooit gebruikt, verlaat je tekst de envelop nooit. We werken eraan om vertaling op het toestel naar meer platforms te brengen.
8. Pushmeldingen
Pushmeldingen op Android en iOS lopen via de pushdiensten van Google en Apple, wat op die platforms onvermijdelijk is. Onze meldingen zijn inhoudsloos: een push zegt alleen dat een lid een nieuw moment heeft gedeeld, een reactie heeft geplaatst of heeft gereageerd in een space — het soort gebeurtenis, de naam van de space en de weergavenaam van dat lid, allemaal informatie die we toch al als metadata bewaren — en de app haalt vervolgens de eigenlijke inhoud op en ontsleutelt die via de normale, versleutelde kanalen. Een melding bevat nooit je foto's of tekst.
9. Rechtsgronden (AVG)
Als je je in de Europese Economische Ruimte of het Verenigd Koninkrijk bevindt, baseren wij ons op deze rechtsgronden onder de AVG:
- Uitvoering van een overeenkomst — om het account en de kerndienst te leveren waarvoor je je hebt aangemeld.
- Toestemming — voor optionele functies die een afweging met zich meebrengen, zoals vertaling; je kunt je toestemming op elk moment intrekken.
- Gerechtvaardigde belangen — om de dienst veilig te houden en misbruik te voorkomen, afgewogen tegen je rechten.
- Wettelijke verplichting — waar we beperkte gegevens moeten bewaren (bijvoorbeeld voor facturatie).
10. Met wie wij delen
We verkopen je gegevens niet en delen ze alleen met de dienstverleners die nodig zijn om Moments te laten draaien, elk verplicht om ze uitsluitend volgens onze instructies te verwerken:
- Cloudhosting en -opslag — om de versleutelde blobs op te slaan en de API te draaien. Zij bewaren cijfertekst die ze niet kunnen lezen.
- Pushaanbieders — Apple (APNs) en Google (FCM), voor inhoudsloze meldingen.
- E-mailbezorging — om je inloglinks te versturen.
- Een AI-vertaalaanbieder van een derde partij — alleen voor tekst die je uitdrukkelijk laat vertalen (sectie 7).
- Een betalingsverwerker — voor betaalde abonnementen; die verwerkt de kaartgegevens, wij slaan ze niet op.
We kunnen ook beperkte informatie vrijgeven als we daartoe wettelijk verplicht zijn — maar omdat je inhoud versleuteld is, is wat we kunnen overleggen metadata, nooit de inhoud zelf.
11. Internationale doorgiften
Sommige van deze aanbieders verwerken gegevens mogelijk buiten jouw land. Waar persoonsgegevens internationaal worden doorgegeven, baseren wij ons op passende waarborgen zoals de standaardcontractbepalingen van de Europese Commissie. Je versleutelde inhoud blijft onleesbaar, waar die ook wordt opgeslagen.
12. Bewaring & verwijdering
We bewaren je accountgegevens en versleutelde inhoud zolang je account actief is. Wanneer je je account verwijdert, verwijderen we je persoonsgegevens en je versleutelde inhoud uit onze actieve systemen, en vallen ze volgens onze normale back-upcyclus uit de back-ups. Beperkte gegevens die we wettelijk moeten bewaren (zoals facturatie) bewaren we alleen zolang de wet dat vereist.
Omdat inhoud is versleuteld met sleutels die alleen je familie heeft, maakt het verwijderen van die sleutels de inhoud al blijvend onleesbaar — de verwijdering wordt versterkt door de cryptografie, niet alleen door ons beleid.
13. Je rechten
Onder voorbehoud van het toepasselijke recht (waaronder de AVG) heb je het recht om je persoonsgegevens in te zien, te corrigeren, te verwijderen en te exporteren, om bezwaar te maken tegen of beperking te vragen van bepaalde verwerkingen, en om je toestemming in te trekken voor optionele functies.
Exporteren is ingebouwd. Je kunt alles downloaden — elke foto, video en elk woord — in een gemakkelijk te doorbladeren formaat, zodat je herinneringen nooit opgesloten zitten. Dat is onze belofte, en het is ook je recht op gegevensoverdraagbaarheid in de praktijk.
Om een recht uit te oefenen, neem je contact met ons op (sectie 17). Je hebt ook het recht om een klacht in te dienen bij je lokale toezichthouder voor gegevensbescherming.
14. Kinderen & gezinsinhoud
Moments is ontworpen voor ouders en volwassenen om het leven van een kind vast te leggen; accounts zijn voor volwassenen (doorgaans 16+, of de minimumleeftijd in jouw land). Veel van de inhoud gaat over kinderen, en dat is precies waarom het hele product end-to-end versleuteld is en alleen wordt gedeeld met de mensen die jij kiest.
Wij kunnen die inhoud niet zien, en we verwerken die nooit om iemand te profileren, te identificeren of advertenties te tonen, kind of volwassene. Ouders en voogden bepalen wie in een space wordt uitgenodigd en wat elke persoon kan zien, en kunnen op elk moment leden verwijderen of inhoud wissen.
15. Beveiliging
Inhoud wordt beschermd met end-to-end versleuteling volgens de industriestandaard (AES-256), met sleutels die de toestellen van je familie nooit verlaten en zonder key escrow aan de serverkant. Verbindingen zijn versleuteld tijdens de overdracht, inloggen gebeurt zonder wachtwoord, en elk nieuw toestel moet uitdrukkelijk worden goedgekeurd. Het ontwerp en zijn eerlijke grenzen worden beschreven in onze beveiligingswhitepaper.
16. Wijzigingen in dit beleid
We kunnen dit beleid bijwerken naarmate het product zich ontwikkelt. Bij wezenlijke wijzigingen werken we de datum hierboven bij en brengen we je in de app of per e-mail op de hoogte voordat de wijzigingen ingaan. Als je daarna blijft gebruikmaken van de dienst, betekent dat dat je het bijgewerkte beleid aanvaardt.
17. Contact
Voor elke vraag over privacy, of om je rechten uit te oefenen, kun je contact met ons opnemen via privacy@momentsapp.eu.