Privacybeleid

Versie 2026-10-03 · Gaat in op 3 oktober 2026

Concept — de gegevens van de aanbieder tussen [ ] zijn nog niet ingevuld. Laat deze tekst vóór de lancering door een jurist controleren.

In dit privacybeleid lees je welke persoonsgegevens recappin verwerkt, waarom, op welke grondslag, wie ze kan zien, hoe lang we ze bewaren en welke rechten je hebt. Het geldt voor iedereen die recappin gebruikt, ook voor bezoekers die niet zijn ingelogd. We hebben geprobeerd het in eenvoudige taal te schrijven, ook voor jongere gebruikers. Is iets niet duidelijk? Neem dan contact met ons op via [privacy email address].

1. Wie we zijn

Recappin wordt aangeboden door recappin, [street and number, postal code, city, country], ingeschreven onder [trade register and number, e.g. Chamber of Commerce (KvK) number] ("wij", "ons"). Wij zijn de verwerkingsverantwoordelijke voor je persoonsgegevens in de zin van de Algemene verordening gegevensbescherming (AVG).

Voor vragen over privacy of om je rechten uit te oefenen, schrijf je naar [privacy email address]. Voor al het andere schrijf je naar [contact email address].

2. In het kort

• We gebruiken je gegevens om je account en de functies die je kiest te laten werken. We verkopen je gegevens niet, tonen geen advertenties en volgen je niet op andere websites.
• Jij bepaalt wie elk deel van je profiel ziet. Gevoelige velden zijn standaard privé, en de standaardinstellingen voor minderjarigen zijn nooit minder streng dan voor volwassenen.
• Gezondheidsmetingen worden alleen met uitdrukkelijke toestemming vastgelegd, en daten staat uit totdat je uitdrukkelijk toestemming geeft. Je kunt toestemming altijd intrekken.
• Je gegevens, ook onze back-ups, worden versleuteld opgeslagen in de Europese Unie. We gebruiken zo weinig mogelijk externe diensten; ze staan in paragraaf 9.
• Je kunt altijd een kopie van je gegevens downloaden en je account laten verwijderen (paragraaf 13).
• Sommige dingen zijn zichtbaar voor anderen op een manier die je moet kennen: mensen kunnen zien dat je hun profiel hebt bezocht of hun berichten hebt gezien (paragraaf 6), een toezichthoudende ouder of voogd kan de privéberichten van een minderjarige lezen (paragraaf 7), en beheerders met een speciale bevoegdheid kunnen privéberichten lezen (paragraaf 8).

3. Welke gegevens we verwerken

Accountgegevens. Bij registratie: je gebruikersnaam, e-mailadres, voor- en achternaam, gender, geboortedatum, land en wachtwoord. Je wachtwoord bewaren we alleen als eenrichtings-hash met salt (Argon2id); niemand, ook wij niet, kan het lezen. Als je een wachtwoord kiest (bij registratie, bij het wijzigen of bij het herstellen ervan), controleren we het tegen de lijst van Have I Been Pwned met wachtwoorden die bij datalekken zijn uitgelekt. Alleen de eerste vijf tekens van de SHA-1-hash van het wachtwoord worden naar de dienst Pwned Passwords gestuurd (een methode die k-anonimiteit heet); het wachtwoord zelf verlaat onze servers nooit, en de dienst kan niet zien welk wachtwoord, of van wie, er is gecontroleerd. Een wachtwoord dat op die lijst staat, weigeren we. We houden bij welke e-mailadressen aan je account gekoppeld zijn geweest. Ook leggen we vast welke versie van de voorwaarden je hebt geaccepteerd en van welke versie van dit beleid je hebt bevestigd dat je die hebt gelezen, en wanneer.

Profielgegevens die je zelf toevoegt. Bijvoorbeeld een weergavenaam, profielfoto en achtergrondafbeelding, bio, kopregel, een zelf omschreven gender, hoeveel van je geboortedatum wordt getoond, je tijdzone, relatiestatus en partner (met de data van de fases van je relatie, zoals sinds wanneer je verloofd of getrouwd bent), seksuele oriëntatie, interesses en sporten, contactgegevens (adres, telefoonnummers, contact-e-mailadressen, websites en sociale links), werkervaring, opleiding en vaardigheden. Dit is allemaal optioneel.

Inhoud die je maakt. Berichten op tijdlijnen, reacties, likes, stemmen in peilingen, gedeelde berichten, vermeldingen, #tags, gekoppelde video's, fotoalbums, agenda-items en je antwoorden, uitnodigingen, medeorganisatie en aanwezigheid daarbij, organisaties en hun pagina's, de publieksgroepen die je maakt, de pagina's en organisaties die je volgt, en de termen die je voorstelt voor de catalogus van interesses en sporten. Van een bericht dat je bewerkt, bewaren we de eerdere versies.

Chatberichten. De inhoud van je privé-, groeps- en organisatiegesprekken (inclusief opmaak, #tags en gekoppelde video's), de afbeeldingen die je stuurt, je instellingen voor berichten, en technische gegevens zoals wanneer een bericht is verstuurd, bewerkt en gelezen.

Sociale verbindingen. Je vrienden, vriendschapsverzoeken, volgers en de mensen die je volgt, familie- en professionele connecties, de mensen die je hebt geblokkeerd of gedempt, en je lidmaatschappen, rollen en afdelingen binnen organisaties.

Gezondheids- en trainingsgegevens. Je trainingslogboek: trainingen met sport, datum, duur, afstand, hoogtemeters, snelheid, vermogen, calorieën en privénotities, en daarnaast je doelen en trainingszones. Gezondheidsgegevens worden alleen met uitdrukkelijke toestemming vastgelegd: lichaams- en fysiologische metingen (gewicht, lengte, vetpercentage, rust- en maximale hartslag, functional threshold power, drempelsnelheid) en de hartslag en ervaren inspanning van een training.

Datinggegevens (alleen als je dit aanzet). Je datingkaart (gender, wie je wilt zien, landen, leeftijdsbereik, bio, foto's), de mensen in wie je interesse hebt getoond of die je hebt overgeslagen, en je matches.

Gebruiksgegevens. Voor elk account meten we de online tijd per dag: actieve tijd, aantal bezoeken, het langste bezoek en het eerste en laatste moment dat je actief was. Voor minderjarigen onder toezicht leggen we ook schermtijd en verzoeken om extra tijd vast. Voor elke sessie leggen we ook het geschatte land vast van het internetadres waarmee je inlogde. Dat zoeken we op in onze eigen kopie van de openbare gegevens van de regionale internetregisters: je adres wordt nooit naar iemand anders gestuurd om op te zoeken. Log je in vanuit een land dat nieuw is voor je account, dan laten we je dat weten.

Inzichtgegevens. Als je bent ingelogd en het profiel van een andere gebruiker of de pagina van een organisatie bekijkt, of als een bericht op je scherm verschijnt, leggen we dat bezoek of die weergave vast (zie paragraaf 6).

Notificaties. De notificaties die we je tonen en je instellingen daarvoor.

Beveiligings- en technische gegevens. IP-adres, browser- en apparaattype (user agent), sessietijden, inlogpogingen, eenmalige inlogcodes en vertrouwde browsers. Elk verzoek aan onze servers wordt gelogd met de route, het resultaat, de duur, je gebruikers-ID, IP-adres en user agent, maar nooit met de inhoud die je verstuurt. Onze webserver logt daarnaast het adres van elke opgevraagde pagina (waarin zoektermen kunnen staan), de pagina waar je vandaan kwam en je browsertype. Belangrijke handelingen op je account (zoals inloggen, je wachtwoord wijzigen of privacyinstellingen aanpassen) worden vastgelegd in een activiteitenlog, samen met het IP-adres en de user agent.

Gegevens over ouders of voogden. Als je minderjarig bent: de gebruikersnaam van je ouder of voogd en diens beslissingen. Als je ouder of voogd bent: de koppelingen met de kinderen op wie je toezicht houdt (die bewaard blijven, gemarkeerd als beëindigd, als je je toestemming intrekt) en de instellingen die je voor hen kiest.

Moderatiegegevens. Meldingen die je doet of die over jou worden gedaan, het bijgevoegde bewijs, verzoeken om meer informatie en je antwoorden, notities van onze moderators, de genomen beslissingen en bezwaren. Als je een organisatie beheert: meldingen over die organisatie, de maatregelen die we ertegen namen en bezwaren die namens haar zijn gemaakt. Als een foto die je uploadde overeenkwam met bekend materiaal van seksueel misbruik van kinderen: een registratie van die overeenkomst (waar en wanneer, een controlegetal van het bestand en het kenmerk van de controle), nooit de foto zelf of de PhotoDNA-vingerafdruk ervan.

Verzoeken en toestemmingen. Je verzoeken om inzage, export of verwijdering van je gegevens, en elke toestemming die je hebt gegeven of ingetrokken, met de versie van de tekst waarmee je instemde.

De meeste gegevens krijgen we van jou. Sommige komen van andere gebruikers: bijvoorbeeld als iemand je vermeldt, je toevoegt aan een groepsgesprek, je uitnodigt voor een activiteit of organisatie, jou of een organisatie die je beheert meldt, of als je ouder of voogd je registratie goedkeurt.

Van elke foto die je uploadt, verwijderen we verborgen metagegevens, zoals de locatie waar de foto is gemaakt, voordat we hem bewaren: JPEG- en PNG-foto's worden gedecodeerd en opnieuw opgeslagen, en bij GIF- en WebP-afbeeldingen worden de metagegevens eruit gehaald. Het originele bestand bewaren we nooit. Daarvoor wordt elk bestand dat je uploadt automatisch gecontroleerd, terwijl je wacht, en we bewaren het alleen als het de controle doorstaat: op kwaadaardige software, door een scanner (ClamAV) die op onze eigen servers draait, zodat het bestand daarvoor nergens naartoe wordt gestuurd; en, zodra we die controle inschakelen, bij foto's ook aan de hand van de lijsten met bekend materiaal van seksueel misbruik van kinderen, met de PhotoDNA-technologie van Microsoft (zie paragraaf 9). Zolang die controle niet is ingeschakeld, worden foto's alleen op kwaadaardige software gecontroleerd en wordt er niets naar Microsoft gestuurd. Is ze ingeschakeld, dan wordt de foto op onze eigen servers omgezet in een digitale vingerafdruk (hash); alleen die vingerafdruk, niet de foto, je naam of accountgegevens, wordt naar Microsoft gestuurd, dat hem vergelijkt met de vingerafdrukken van materiaal dat al bekend is en ons alleen laat weten of er een overeenkomst is. De foto zelf verlaat voor deze controle nooit onze servers, en PhotoDNA beoordeelt je foto's op geen enkele andere manier. Een bestand dat een van beide controles niet doorstaat, wordt geweigerd en niet bewaard. Komt een foto overeen met bekend materiaal van seksueel misbruik van kinderen, dan weigeren we hem zonder hem te bewaren, schorsen we het account direct en beoordeelt een medewerker de zaak; we bewaren een registratie van de overeenkomst (niet de foto) en kunnen die, zoals de wet vereist, melden bij de bevoegde autoriteiten. Kan een controle niet worden uitgevoerd, dan wordt de upload geweigerd en kun je het later opnieuw proberen.

4. Waarom we je gegevens verwerken en op welke grondslag

Om de dienst te leveren waarvoor je je hebt aangemeld (uitvoering van een overeenkomst, artikel 6 lid 1 sub b AVG): het aanmaken en laten werken van je account, het tonen van je profiel en inhoud aan het publiek dat je kiest, verbindingen, chatberichten, organisaties, de agenda, je trainingslogboek, notificaties, de inzichtpagina's, de export van je gegevens, en de e-mails die we je sturen om in te loggen, je e-mailadres te bevestigen en je wachtwoord te herstellen.

Om het platform veilig te houden en misbruik te voorkomen (gerechtvaardigd belang, artikel 6 lid 1 sub f AVG): accounts beschermen tegen inbraak, limieten op het aantal handelingen, verzoek- en activiteitenlogs, back-ups, het afhandelen van meldingen en bezwaren, het onderzoeken van misbruik, het handhaven van deze regels en voorkomen dat verbannen gebruikers terugkomen. Ons belang is een veilige en betrouwbare dienst voor alle gebruikers; we beperken deze gegevens tot het noodzakelijke en beperken wie er toegang toe heeft. Daaronder valt ook het controleren van elke upload op kwaadaardige software en, zodra die controle is ingeschakeld, op bekend materiaal van seksueel misbruik van kinderen (paragraaf 3): daar is ons belang ook de bescherming van kinderen, en waar de wet ons verplicht zulk materiaal op te sporen of te melden, berust de verwerking op die wettelijke verplichting (artikel 6 lid 1 sub c AVG).

Meten van online tijd (gerechtvaardigd belang, artikel 6 lid 1 sub f AVG): om je je eigen gebruik te laten zien, om een ouder of voogd toezicht te laten houden op een minderjarige, en om misbruik op te sporen. Niemand behalve jij, een toezichthoudende ouder of voogd en bevoegde medewerkers kan dit zien.

Profielbezoekers en weergaven van berichten (gerechtvaardigd belang, artikel 6 lid 1 sub f AVG): om gebruikers en organisaties te laten zien wie hun pagina heeft bezocht of hun berichten heeft gezien. Minderjarigen worden in deze lijsten nooit bij naam genoemd, en de gedetailleerde gegevens worden na 90 dagen verwijderd.

Bijzondere persoonsgegevens — alleen met je uitdrukkelijke toestemming (artikel 6 lid 1 sub a en artikel 9 lid 2 sub a AVG):

• Gezondheidsgegevens: we vragen je uitdrukkelijke toestemming als je het prestatiegedeelte voor het eerst opent. Zonder die toestemming worden er geen gezondheidsmetingen opgeslagen, maar kun je wel je trainingslogboek bijhouden. Voor een minderjarige onder toezicht komt de toestemming van de ouder of voogd in de plaats van die van de minderjarige zelf, zolang het toezicht duurt.
• Daten: we vragen je uitdrukkelijke toestemming voordat je datingkaart wordt aangezet, omdat het gebruik van daten laat zien in welke genders je geïnteresseerd bent, wat iets kan zeggen over je seksuele oriëntatie.
• Seksuele oriëntatie op je profiel: dit veld is optioneel en staat standaard op "niet opgegeven" en "alleen ik". Als je het invult, geef je toestemming dat we het bewaren, tonen aan het publiek dat je kiest en, als je daten gebruikt, gebruiken als uitgangspunt voor wie je wilt zien. Je trekt deze toestemming in door het veld leeg te maken, wat altijd kan.

Marketing-e-mails (toestemming, artikel 6 lid 1 sub a AVG): alleen als je je daarvoor aanmeldt. Op dit moment sturen we er geen.

Wettelijke verplichtingen (artikel 6 lid 1 sub c AVG): het bijhouden van toestemmingen en acceptaties van de voorwaarden, het afhandelen van verzoeken over je gegevens, het reageren op bevelen van autoriteiten, en onze plichten onder de Europese digitaledienstenverordening (DSA).

Rechtsvorderingen (gerechtvaardigd belang, artikel 6 lid 1 sub f en artikel 9 lid 2 sub f AVG): het bewaren van moderatiegegevens en bewijs als dat nodig is om een rechtsvordering in te stellen, uit te oefenen of te onderbouwen.

Als we ons baseren op ons gerechtvaardigd belang, heb je het recht om bezwaar te maken (paragraaf 13). Als we ons baseren op toestemming, kun je die altijd intrekken voor de toekomst; dat maakt de verwerking daarvoor niet onrechtmatig.

Afgezien van het ene geval dat hier wordt beschreven, en dat pas geldt zodra de controle op bekend materiaal van seksueel misbruik van kinderen uit paragraaf 3 is ingeschakeld, gebruiken we geen geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor jou in de zin van artikel 22 AVG. Komt een foto die je uploadt overeen met bekend materiaal van seksueel misbruik van kinderen (paragraaf 3), dan wordt je account automatisch en direct geschorst, ter bescherming van kinderen; een medewerker beoordeelt dat besluit daarna, je kunt je standpunt geven en er bezwaar tegen maken, en de schorsing wordt opgeheven als de overeenkomst onjuist blijkt. Alle andere moderatiebeslissingen worden door mensen genomen; als een moderator beslist, worden samenhangende meldingen over dezelfde inhoud, hetzelfde account of dezelfde organisatie samen met die beslissing afgesloten, en krijgen de melders dat te horen. Het matchen bij daten volgt alleen de voorkeuren die jij en andere gebruikers instellen.

5. Wie je gegevens kan zien

Andere gebruikers. Voor elk deel van je profiel en voor je inhoud kies je het publiek: iedereen, vrienden, familie, professionele connecties, alleen jij, of groepen die je zelf maakt. Je gebruikersnaam is altijd zichtbaar. Als je iemand blokkeert, ben je volledig onzichtbaar voor die persoon. Zolang je niets wijzigt, gelden deze standaardinstellingen:

• Volwassenen: naam, foto, bio, kopregel, interesses, sporten, vaardigheden, werk en opleiding, lidmaatschappen van organisaties, berichten, albums en trainingen zijn openbaar; gender, verjaardag, relatiestatus, je woonplaats, websites en sociale links, je lijsten met vrienden, volgers en mensen die je volgt, je agenda en agenda-items zijn zichtbaar voor vrienden; je lijst met professionele connecties is zichtbaar voor je professionele connecties; seksuele oriëntatie, adres, telefoonnummers en contact-e-mailadressen zijn alleen voor jou zichtbaar.
• Minderjarigen: standaard is niets openbaar. Naam, foto, bio, kopregel, interesses, sporten, vaardigheden, lidmaatschappen van organisaties, berichten, albums, trainingen, agenda-items en alle lijsten met connecties zijn zichtbaar voor vrienden; gender, verjaardag, relatiestatus, adres en woonplaats, telefoonnummers, contact-e-mailadressen, websites en sociale links, werk, opleiding, seksuele oriëntatie en de agenda als geheel zijn alleen voor jou zichtbaar.
• Gezondheidsmetingen, doelen en zones zijn altijd alleen voor jou zichtbaar; dat kun je niet wijzigen. Trainingen hebben een eigen zichtbaarheidsinstelling, maar anderen zien nooit de hartslag, ervaren inspanning of privénotities daarbij.

Organisaties. Beheerders van een organisatie waar je lid van wordt, zien je lidmaatschap, je rol en afdelingen daarin, en wat je in de organisatie deelt. Ze kunnen je gezondheidsgegevens en je privéberichten niet zien. Standaard kunnen de leden van een organisatie de ledenlijst zien. Leden van een afdeling kunnen het afdelingsgesprek lezen, ook de chatberichten van vóór hun lidmaatschap; afdelingsleiders en leden met de juiste bevoegdheid kunnen daarin chatberichten verwijderen, wat wordt vastgelegd in de activiteitengeschiedenis van de organisatie. Meldingen over een organisatie, en wie ze deed, worden nooit aan haar leden of beheerders getoond. Als we een maatregel tegen een organisatie nemen, ontvangen de beheerders de motivering en kunnen ze namens de organisatie bezwaar maken; onze medewerkers kunnen zien welke beheerder het bezwaar maakte.

Agenda-items. De organisatoren van een agenda-item zien wie heeft gereageerd en wie aanwezig was. Tenzij de organisator dat beperkt, kan iedereen die het item kan zien ook zien wie er komt of misschien komt, en je vrienden kunnen zien dat je naar een activiteit gaat die zij kunnen zien.

Deelnemers aan gesprekken. In privé- en groepsgesprekken zien de mensen in het gesprek je chatberichten en wanneer je het gesprek voor het laatst hebt gelezen. In een afdelingsgesprek van een organisatie zien ze je chatberichten en alleen hoeveel mensen een bericht hebben gelezen, niet wie.

6. Profielbezoekers en weergaven van berichten

Als je bent ingelogd en het profiel van een andere gebruiker of de pagina van een organisatie opent, kan de eigenaar (en bij een organisatie: leden met de juiste bevoegdheid) zien dat je langs bent geweest: je naam, foto, gebruikersnaam en het tijdstip. Als een van hun berichten op je scherm verschijnt, kunnen ze zien dat je het hebt bekeken. Het is op dit moment niet mogelijk om ingelogd anoniem te bezoeken of te bekijken. Minderjarigen verschijnen altijd als "Iemand", ook nadat ze meerderjarig zijn geworden, en gebruikers die jij hebt geblokkeerd of die jou hebben geblokkeerd en accounts die niet meer actief zijn, verschijnen nooit. Bezoeken aan de pagina van een organisatie door mensen die niet zijn ingelogd, worden alleen geteld en nooit bij naam getoond. De gedetailleerde gegevens worden 90 dagen na het bezoek of de laatste weergave verwijderd; alleen anonieme aantallen per uur blijven bewaard.

De eigenaar ziet ook een kaart van waar bezoekers vandaan komen, alleen als aantallen: het geschatte land van elk bezoek, en de woonplaats in je adres als je die met iemand anders dan jezelf deelt. Minderjarigen tellen alleen mee voor een land. Een land of plaats wordt pas genoemd als er in de gekozen periode minstens vijf nieuwe bezoekers vandaan kwamen; kleinere groepen worden samengevoegd. De kaart laat nooit zien wie waar vandaan kwam, maar op een pagina met heel weinig bezoekers kan de eigenaar het misschien afleiden door dagen te vergelijken. Zet de woonplaats in je adres op "Alleen ik" om op deze kaarten weg te blijven.

7. Minderjarigen en ouders of voogden

Je moet minstens 13 jaar oud zijn om recappin te gebruiken. Ben je jonger dan 16 (of de leeftijd die de wet in jouw land bepaalt), dan moet een ouder of voogd van minstens 18 jaar met een eigen recappin-account je registratie binnen 7 dagen goedkeuren; anders vervalt de registratie.

Zolang het toezicht actief is, kan je ouder of voogd:

• de activiteitengeschiedenis van je account, je online tijd en je schermtijd zien;
• je privégesprekken lezen, inclusief openstaande berichtverzoeken (alleen lezen), en krijgt hij of zij bericht als iemand met wie je niet verbonden bent je een berichtverzoek stuurt. Jij en de mensen met wie je chat, krijgen te zien dat een ouder of voogd kan meelezen;
• kiezen wie je berichten mag sturen, je dagelijkse schermtijd instellen en beslissen over je verzoeken om extra tijd;
• het vastleggen van je gezondheidsmetingen toestaan of stoppen, zonder ze zelf te kunnen zien;
• toestemming geven om je in te delen in een afdeling van een organisatie;
• kopieën ontvangen van belangrijke meldingen over je account (veiligheid en beveiliging, moderatie, en uitnodigingen voor agenda-items).

Het toezicht stopt automatisch als je de leeftijd bereikt waarop geen toestemming van een ouder of voogd meer nodig is. Je ouder of voogd kan de toestemming op elk moment intrekken, zonder een reden te geven. Heb je nog toestemming van een ouder of voogd nodig, dan wordt je account daarna geschorst — niet verwijderd — en word je overal uitgelogd. Je kunt het niet gebruiken totdat een andere ouder of voogd die je opgeeft het goedkeurt, of totdat je de leeftijd bereikt waarop geen toestemming meer nodig is, wat het eerst gebeurt. Alles wat je ouder of voogd kon zien of instellen, stopt op dat moment. De intrekking wordt vastgelegd in je activiteitengeschiedenis en je krijgt er bericht over. Als je ouder of voogd je activiteitengeschiedenis opent of een van je gesprekken leest, wordt dat vastgelegd in je eigen activiteitengeschiedenis. Daten kan pas vanaf 18 jaar.

8. Toegang door onze medewerkers

Moderators en beheerders hebben alleen de bevoegdheden die ze voor hun taak nodig hebben. Het lezen van privéberichten en het openen van de volledige inhoud van een gebruiker wordt altijd gelogd.

• Moderators die een melding behandelen, zien het bewijs bij die melding, zoals het gemelde profiel, bericht of organisatiepagina, of maximaal 20 chatberichten die de melder heeft geselecteerd. Elk gemeld chatbericht dat ze openen, wordt gelogd. Ze hebben geen algemene toegang tot je chatberichten.
• Beheerders met een aparte, specifieke bevoegdheid kunnen alle inhoud van een gebruiker bekijken, zonder iets te kunnen wijzigen: ook privéberichten en openstaande berichtverzoeken, berichten die verborgen of verwijderd zijn, en eerdere profielfoto's. We gebruiken dit om misbruik te onderzoeken, ook inhoud die niemand heeft gemeld, en om rechtmatige verzoeken te beantwoorden. Elk deel van je inhoud en elk gesprek dat ze openen, wordt gelogd; je krijgt geen bericht per keer dat iets wordt bekeken.
• Beheerders die accounts beheren, kunnen je account- en profielgegevens zien, ongeacht je zichtbaarheidsinstellingen, en daarnaast je sessies (met IP-adres en browser), je online tijd en je geschiedenis van moderatie en gegevensverzoeken. Beheerders met de juiste bevoegdheid kunnen ook het activiteitenlog en het verzoeklog inzien.
• Medewerkers kunnen niet als jou inloggen en kunnen je wachtwoord niet zien. Wie je bij daten interessant vond, zien ze alleen als dat deel uitmaakt van gemelde inhoud.

Je chatberichten worden versleuteld verstuurd en versleuteld opgeslagen, maar zijn niet end-to-end versleuteld: onze systemen kunnen ze ontsleutelen om ze aan de deelnemers te tonen en voor de toegang die hierboven is beschreven.

9. Dienstverleners en andere ontvangers

We verkopen of verhuren je gegevens niet en delen ze niet met adverteerders. We delen ze alleen met:

• [name of the hosting provider], die onze servers host in [data centre location, e.g. Amsterdam, the Netherlands]. Onze database en alle foto's worden daar opgeslagen.
• [name of the offsite backup storage provider], die onze back-ups bewaart in [backup storage location, must be in the EEA, e.g. Falkenstein, Germany]. Back-ups worden versleuteld voordat ze onze servers verlaten, zodat de aanbieder ze niet kan lezen.
• [name of the email delivery (SMTP) provider], die onze e-mails bezorgt (je inlogcode, en de links om je e-mailadres te bevestigen, je wachtwoord te herstellen of, zolang je registratie op goedkeuring van een ouder of voogd wacht, die registratie te annuleren).
• Microsoft Corporation, zodra onze controle op bekend materiaal van seksueel misbruik van kinderen is ingeschakeld (paragraaf 3): de PhotoDNA Cloud Service van Microsoft controleert dan elke foto die je uploadt. Tot dat moment wordt er niets naar Microsoft gestuurd. De foto wordt op onze eigen servers met de PhotoDNA-technologie van Microsoft omgezet in een digitale vingerafdruk (hash); alleen die vingerafdruk, niet de foto, je naam of accountgegevens, wordt naar Microsoft gestuurd, dat ons alleen laat weten of hij overeenkomt met bekend materiaal. We gebruiken deze dienst om kinderen te beschermen, op grond van ons gerechtvaardigd belang en, waar de wet dat vereist, onze wettelijke verplichtingen (paragraaf 4). Microsoft kan de vingerafdruk in de Verenigde Staten verwerken (paragraaf 10).
• YouTube (Google), Vimeo en Spotify, als je een video of audiofragment afspeelt dat in een bericht, chatbericht of agenda-item is ingesloten. De speler laadt pas nadat je op afspelen klikt; vanaf dat moment ontvangt de aanbieder je IP-adres en kan hij eigen cookies plaatsen onder zijn eigen privacybeleid. YouTube-video's worden afgespeeld in de privacyvriendelijke modus (youtube-nocookie.com) en Vimeo met "do not track". Daarvoor haalt onze server de titel en voorbeeldafbeelding namens jou op, zodat de aanbieder niet weet wie je bent.
• Autoriteiten, rechters of andere partijen als we daartoe wettelijk verplicht zijn, of als het nodig is om de rechten, veiligheid of eigendommen van onze gebruikers of anderen te beschermen.
• Een koper of opvolger, als recappin wordt overgedragen aan een ander bedrijf; je wordt daar vooraf over geïnformeerd.

Onze dienstverleners verwerken gegevens alleen in onze opdracht en op grond van een verwerkersovereenkomst (artikel 28 AVG).

10. Doorgifte buiten de Europese Economische Ruimte

We slaan je gegevens, ook back-ups, op in de Europese Economische Ruimte. Doorgifte daarbuiten vindt alleen plaats als je een ingesloten item van YouTube, Vimeo of Spotify afspeelt, en, zodra die controle is ingeschakeld, als de dienst PhotoDNA van Microsoft de vingerafdruk controleert van een foto die je uploadt (paragraaf 9; de foto zelf blijft op onze servers); deze aanbieders kunnen gegevens verwerken in de Verenigde Staten. Als ze zijn gecertificeerd onder het EU-VS-gegevensprivacykader, berust de doorgifte op het adequaatheidsbesluit van de Europese Commissie; anders op de standaardcontractbepalingen die deze aanbieders gebruiken.

11. Hoe lang we je gegevens bewaren

• Account- en profielgegevens: zolang je account bestaat. Als je je account deactiveert, wordt het verborgen maar wordt er niets verwijderd; verwijdering staat beschreven in paragraaf 13.
• Berichten, chatberichten en andere inhoud: totdat je ze verwijdert of je account wordt verwijderd. Een verwijderd bericht wordt niet meer getoond; de inhoud ervan wordt gewist als je account wordt verwijderd. Een gesprek dat niemand meer kan openen, omdat iedereen het heeft verlaten of geweigerd of hun accounts zijn verwijderd, wordt 90 dagen nadat de laatste persoon vertrok verwijderd.
• Gezondheidsgegevens, trainingslogboek en datinggegevens: totdat je ze verwijdert of je account wordt verwijderd.
• Sessies: tot 30 dagen nadat ze zijn verlopen. Eenmalige inlogcodes: tot een uur nadat ze zijn verlopen. Vertrouwde browsers: 30 dagen.
• Verzoeklogs met IP-adres en user agent: 30 dagen. Fout- en toegangslogs van de webserver: 30 dagen.
• Het IP-adres waarmee je je registreerde: 90 dagen. Een registratie die nooit wordt afgerond, of die een ouder of voogd niet goedkeurt, verloopt; 90 dagen later worden de persoonsgegevens ervan verwijderd.
• Online tijd en schermtijd: 90 dagen. Verzoeken om extra schermtijd: totdat je account wordt verwijderd.
• Profielbezoeken en weergaven van berichten met naam: 90 dagen; anonieme aantallen per uur bewaren we zonder termijn, omdat ze niet aan iemand te koppelen zijn.
• Notificaties: 90 dagen nadat je ze hebt gelezen, of een jaar als je ze nooit leest.
• Activiteitenlog: 2 jaar; vermeldingen over moderatie: 5 jaar. Wordt je account eerder verwijderd, dan blijven de vermeldingen tot dan bewaard, gekoppeld aan een anoniem nummer in plaats van aan je profiel. Ze houden het IP-adres, de user agent en de gegevens die destijds zijn vastgelegd; bij vermeldingen die niet over moderatie gaan, worden de gewijzigde persoonsgegevens verwijderd.
• Moderatiegegevens (meldingen, bewijs, informatieverzoeken, notities, beslissingen en bezwaren): 5 jaar na de laatste stap in de zaak, de termijn waarbinnen naar Nederlands recht een rechtsvordering kan worden ingesteld. Nooit korter zolang een melding of bezwaar in die zaak nog openstaat, of zolang een schorsing of verbanning uit die zaak nog geldt. Ze blijven bewaard als je account wordt verwijderd.
• Je gebruikersnaam en e-mailadres na verwijdering: intern bewaard gedurende 5 jaar, en zolang een moderatiezaak over het account wordt bewaard, zodat ze niet met eerdere gegevens worden verward en verbannen gebruikers er niet onder kunnen terugkeren; ze worden nooit getoond. Daarna worden ze verwijderd en kunnen ze opnieuw worden gebruikt.
• Toestemmingen, acceptaties van de voorwaarden en verzoeken over je gegevens: zolang je account bestaat, en 5 jaar nadat het is verwijderd, als bewijs dat we ons aan de wet hebben gehouden.
• Exports van je gegevens: worden nooit opgeslagen; de downloadlink verloopt na 7 dagen.
• Back-ups: 35 dagen. Gegevens die zijn verwijderd, blijven in de back-ups staan totdat die verlopen, en worden in de tussentijd niet gebruikt. Elke back-up bevat ook een korte lijst van recente verwijderingen (alleen accountnummer en data), zodat we, als we ooit een back-up moeten terugzetten, die verwijderingen opnieuw kunnen uitvoeren voordat recappin weer opengaat.
• Het geschatte land van een sessie: zolang het sessierecord bestaat (tot 30 dagen nadat de sessie eindigt). Bezoekaantallen per land en plaats noemen niemand en blijven bewaard tot de eigenaar van de pagina zijn account laat wissen.

12. Beveiliging

We beschermen je gegevens met technische en organisatorische maatregelen, waaronder versleutelde verbindingen (TLS) voor al het verkeer; versleuteling van alle opgeslagen gegevens, met extra versleuteling van chatberichten, gezondheidsgegevens, contactgegevens, geboortedatum, seksuele oriëntatie, moderatiegegevens en alle geüploade foto's; versleutelde back-ups; het hashen van wachtwoorden met Argon2id; het weigeren van wachtwoorden die bekend zijn uit datalekken, gecontroleerd zonder dat het wachtwoord onze servers verlaat; het scannen van elk geüpload bestand op kwaadaardige software, op onze eigen servers, voordat het wordt opgeslagen; een eenmalige code per e-mail als je inlogt vanuit een browser die je niet als vertrouwd hebt gemarkeerd; bescherming tegen herhaalde inlogpogingen; strikte toegangsrechten voor medewerkers, met logging van toegang tot privéberichten en tot de volledige inhoud van een gebruiker; limieten op het aantal handelingen; het verwijderen van metagegevens uit foto's; en een strikt contentbeveiligingsbeleid in de browser. Geen enkel systeem is volledig veilig. Als een datalek waarschijnlijk een risico vormt voor je rechten, melden we dat binnen 72 uur aan de toezichthouder en informeren we jou zonder onnodige vertraging als de wet dat vereist.

13. Je rechten

Op grond van de AVG heb je het recht om:

• je gegevens in te zien en een kopie te krijgen (artikel 15);
• onjuiste gegevens te laten corrigeren (artikel 16). De meeste gegevens kun je zelf aanpassen; je geboortedatum kan alleen door ons worden gecorrigeerd, met bewijs;
• je gegevens te laten wissen (artikel 17);
• de verwerking te laten beperken (artikel 18);
• je gegevens over te dragen: ze in een gestructureerde, machineleesbare vorm te ontvangen (artikel 20);
• bezwaar te maken tegen verwerking op grond van ons gerechtvaardigd belang (artikel 21);
• elke toestemming op elk moment in te trekken, met werking voor de toekomst (artikel 7 lid 3).

Je kunt je gegevens downloaden en verwijdering aanvragen in je accountinstellingen, of op de pagina voor gegevensverzoeken, die ook werkt als je account is geschorst of verbannen, of als je nieuwe voorwaarden niet hebt geaccepteerd. Voor de veiligheid vragen we je eerst je wachtwoord te bevestigen. De download bevat alle persoonsgegevens die we over je hebben, behalve beveiligingsgegevens zoals de hash van je wachtwoord, inlogcodes en tokens, onze technische verzoeklogs, en gegevens die we niet mogen verstrekken omdat dat de rechten van anderen of het onderzoek naar strafbare feiten zou schaden (bijvoorbeeld meldingen die anderen over jou hebben gedaan). Voor alle andere verzoeken, zoals correctie, beperking of bezwaar, schrijf je naar [privacy email address].

Zo werkt verwijdering: we maken eerst een export van je gegevens voor je klaar. Dertig dagen nadat je die hebt geopend, wordt je account verwijderd; tot die tijd kun je dit annuleren. Na verwijdering is je profiel weg en worden je berichten en chatberichten vervangen door een melding dat de inhoud is verwijderd. Alleen de gegevens die in paragraaf 11 staan, blijven bewaard, voor de termijnen die daar staan; ze zijn gekoppeld aan een anoniem nummer in plaats van aan je profiel, maar sommige ervan, zoals je gebruikersnaam en e-mailadres, toestemmingen en moderatiezaken, zijn nog naar jou te herleiden. Verwijderde gegevens verdwijnen uit onze back-ups als die verlopen, binnen 35 dagen. Wil je alleen even pauzeren? Dan kun je je account ook deactiveren; door opnieuw in te loggen activeer je het weer.

We reageren binnen een maand. Is een verzoek ingewikkeld, dan kunnen we die termijn met twee maanden verlengen; dat laten we je binnen de eerste maand weten. Het uitoefenen van je rechten is gratis.

Je hebt ook het recht om een klacht in te dienen bij een toezichthouder voor gegevensbescherming, met name in het EU-land waar je woont of werkt of waar de vermeende overtreding plaatsvond. Onze leidende toezichthouder is [lead data protection authority, e.g. Autoriteit Persoonsgegevens]. We stellen het op prijs als je ons eerst de kans geeft je probleem op te lossen.

14. Cookies en lokale opslag

Recappin gebruikt alleen cookies die nodig zijn voor de dienst of die keuzes onthouden die je zelf hebt gemaakt. We gebruiken geen advertentie-, analyse- of trackingcookies, en vragen daarom geen toestemming voor cookies.

• access_token en refresh_token: houden je ingelogd (10 minuten en maximaal 24 uur).
• login_challenge: koppelt je inlogpoging aan de code die we je hebben gemaild (10 minuten).
• trusted_device: onthoudt dat je deze browser vertrouwt, zodat je 30 dagen geen inlogcode hoeft in te voeren. Blijft bestaan nadat je uitlogt.
• XSRF-TOKEN: beschermt tegen cross-site request forgery (maximaal 24 uur).
• NEXT_LOCALE, theme en sidebar_collapsed: onthouden je taal, licht of donker thema en de stand van de zijbalk (een jaar).

Daarnaast bewaren we één instelling in de lokale opslag van je browser, die onthoudt dat je de suggestie om mensen te volgen hebt weggeklikt. Lettertypen en emoji komen van onze eigen servers, dus bij het laden van een pagina wordt geen contact gemaakt met Google of een andere derde partij.

15. Wijzigingen in dit beleid

Als we dit beleid wijzigen, publiceren we de nieuwe versie met een nieuw versienummer, en vragen we je de nieuwe versie te lezen voordat je recappin verder kunt gebruiken. Eerdere bevestigingen blijven vastgelegd.