Privacyverklaring
Oikoi is een besloten plek waar je foto’s en herinneringen deelt met mensen die je kent. Deze verklaring legt uit welke persoonsgegevens wij verwerken, waarom, hoe lang, en welke rechten je hebt. We schrijven haar zo dat je haar kunt lezen zonder jurist.
1. Wie is verantwoordelijk
Oikoi.nl, ingeschreven bij de Kamer van Koophandel onder nummer 72503068, gevestigd te Pruisisch blauw 31, 2718 KK Zoetermeer (hierna: “wij” of “Oikoi”), is verwerkingsverantwoordelijke in de zin van de Algemene verordening gegevensbescherming (AVG). Vragen over privacy: privacy@oikoi.nl.
2. Uitgangspunten
- Niets is publiek. Er is geen openbaar profiel, geen zoekfunctie op naam en geen deelbare link die zonder account werkt.
- Geen aanbevelingsalgoritme, geen advertenties, geen profilering. We tonen berichten strikt chronologisch en verkopen of delen geen gegevens voor marketing.
- Zo min mogelijk, zo kort mogelijk. We verzamelen alleen wat nodig is om de dienst te laten werken en bewaren metadata kort.
- Europees. Opslag en verwerking vinden plaats binnen de Europese Economische Ruimte bij Europese leveranciers.
3. Welke gegevens we verwerken en waarom
| Gegevens | Doel | Grondslag | Bewaartermijn |
|---|---|---|---|
| Naam, e-mailadres, wachtwoord (gehasht), taalvoorkeur | Je account en inloggen | Uitvoering van de overeenkomst | Zolang je account bestaat |
| Woonland, door jou zelf opgegeven bij je account of (optioneel) op de wachtlijst; we leiden het nooit af uit je IP-adres | Diensten per land kunnen aanbieden (drukwerk, opslagbundels, gezichten opsporen) en landen kunnen uitsluiten waar we niet actief zijn. Alleen zichtbaar voor jou en beheer, nooit voor je kring | Uitvoering van de overeenkomst | Tot je het wijzigt of je account verwijdert |
| Optioneel: avatar, omslagfoto, korte beschrijving, woonplaats, verjaardag (zonder jaartal getoond) | Je profiel, alleen zichtbaar voor je eerstegraads verbindingen | Uitvoering van de overeenkomst; jij kiest wat je invult | Tot je het verwijdert of je account sluit |
| Vorige avatars en omslagfoto’s (bij wisselen of weghalen bewaard in plaats van gewist), en het origineel van je profiel- en omslagfoto’s, zodat je ze achteraf kunt bijsnijden | Zodat je ze zelf kunt terugzien, terugzetten en downloaden; alleen zichtbaar voor jou, niet voor je kring of de beheerder, en ze tellen niet mee voor je opslag | Uitvoering van de overeenkomst | Tot je je account verwijdert |
| Gehashte versie van je e-mailadres en, als je dat instelt, je telefoonnummer | Zodat mensen die je adres of nummer al hebben je kunnen vinden. We bewaren het nummer zelf niet en bevestigen nooit of iemand een account heeft. | Gerechtvaardigd belang (vindbaarheid zonder ledenlijst); telefoonnummer alleen met jouw handeling | Zolang je account bestaat; telefoonhash tot je hem verwijdert |
| Verbindingen, uitnodigingen en verbindingsverzoeken | Bepalen wie wat mag zien | Uitvoering van de overeenkomst | Zolang de verbinding bestaat; geweigerde verzoeken blijven geregistreerd zodat ze niet herhaald kunnen worden |
| Foto’s, teksten en reacties | De kern van de dienst | Uitvoering van de overeenkomst | Tot jij ze verwijdert of je account sluit |
| Gesprekken: berichten, foto’s, spraakberichten, bestanden en peilingen, en wie lid is van welk gesprek | Besloten praten met de leden van dat gesprek; alleen zichtbaar voor de leden | Uitvoering van de overeenkomst | Tot je ze zelf weghaalt; is een gesprek opgeheven, dan wordt alles na 30 dagen gewist |
| Een locatie die je zelf eenmalig in een gesprek deelt (afgeronde coördinaten en eventueel een naam van de plek) | Laten zien waar je bent, alleen aan de leden van dat gesprek; nooit live en nooit in een melding | Uitvoering van de overeenkomst; je deelt de plek zelf | Met het bericht: tot je het weghaalt of het gesprek wordt gewist |
| Reisgesprek: alleen als de organisator van een gesprek de schakelaar Reisgesprek aanzet, meet zijn app bij het versturen van een bericht eenmalig zijn eigen plek | Een reisverslag op een kaart. De punten zijn onzichtbaar tot de organisator “Reis afsluiten” kiest; daarna zien de leden het spoor. Van leden wordt nooit een plek vastgelegd | Toestemming van de organisator (de schakelaar en de locatietoestemming van het toestel) | Tot de organisator de punten weghaalt of het gesprek wordt gewist |
| Eventgesprek (openbaar): de foto’s die je in zo’n gesprek plaatst, in één gezamenlijk bericht | Zichtbaar voor de leden van het gesprek en in de kring van iedereen die er foto’s in zet, ook voor wie jou niet kent; wie geen van hen kent ziet niets | Uitvoering van de overeenkomst; jouw keuze om in een eventgesprek te plaatsen (dat staat erbij als je het gesprek opent) | Tot jij ze weghaalt; ze blijven van jou en tellen voor jouw opslag |
| Privé-event: een kopie van de foto’s die je in zo’n gesprek plaatst, bij de gastheer | De gastheer (bijvoorbeeld een bruidspaar) krijgt na afloop alle foto’s voor zijn eigen archief | Uitvoering van de overeenkomst; jouw keuze om in een privé-event te plaatsen | De kopie is van de gastheer, tot die hem weghaalt; je origineel blijft van jou |
| De plek van een event (naam en eventueel een punt op de kaart), ingevuld door een beheerder van het gesprek | Bij het gezamenlijke bericht laten zien waar het event was; van leden wordt nooit een plek vastgelegd | Uitvoering van de overeenkomst | Met het bericht |
| Leesbevestigingen: of een bericht in een gesprek is afgeleverd en gelezen | Vinkjes bij je eigen berichten, zonder namen of aantallen | Gerechtvaardigd belang; instelling “Leesbevestigingen”, standaard aan en wederkerig: zet je het uit, dan geef je niets af en zie je het ook van niemand | Alleen de laatste stand per gesprek, zolang je lid bent |
| De metadata die in je fotobestanden zit: opnamedatum, camera, kleurprofiel, en wat je zelf ooit invulde aan onderschrift, trefwoorden of namen | Ordening en duiding van je archief; het origineel blijft het origineel | Uitvoering van de overeenkomst | Met de foto. De GPS-locatie is de enige uitzondering: die wordt altijd uit het bestand verwijderd. Bewaar je hem (schakelaar "Locatie bewaren"), dan staat hij versleuteld naast de foto in de database; anders wordt hij weggegooid. De verkleinde weergaven die we tonen bevatten nooit metadata. |
| Betaalgegevens (bij een opslagbundel): klant- en mandaatreferentie bij Mollie, factuurgegevens | Betaling en facturatie | Uitvoering van de overeenkomst; wettelijke bewaarplicht | Facturen 7 jaar (fiscale bewaarplicht); het bankrekeningnummer zien wij niet |
| Namen bij een foto (wie erop staat), trefwoorden en de plaats | Een archief dat over vijftig jaar nog te duiden is: zoeken op wie, waar en wanneer | Gerechtvaardigd belang (archieffunctie); je vult zelf in wat je wilt, en de genoemde persoon kan het laten weghalen | Bij de foto, tot jij of de genoemde persoon het weghaalt |
| Beschrijvende gegevens uit het fotobestand: opnamedatum, camera, en — als je die zelf hebt aangezet — de plek | Ordening en vindbaarheid van je archief | Uitvoering van de overeenkomst | Bij de foto. Het bestand dat wij uitleveren is en blijft volledig gestript; we lezen deze velden vóór het strippen en bewaren alleen wat hier staat. |
| Vakjes van gevonden gezichten (alleen coördinaten), als je “gezichten opsporen” aanzet | Een leeg naamvakje klaarzetten bij het duiden van een groot archief | Toestemming (je zet het zelf aan en uit) | Tot je er een naam bij zet of het vakje weghaalt; er wordt nooit een gezichtskenmerk bewaard |
| Tijdstip van je laatste activiteit op de site | Zodat beheer ziet welke accounts nog in gebruik zijn | Gerechtvaardigd belang (beheer van de dienst) | Alleen het laatste tijdstip; zolang je account bestaat |
| Alleen als je dat in de app zelf aanzet: een grove plek, je ongeveer gebied (afgerond op 0,1 graad, zo'n 10 km) | Zodat de beheerder op een kaart kan zien waar de app wordt gebruikt; dat overzicht toont alleen aantallen per gebied, geen namen | Toestemming (standaard uit; je zet het zelf aan en uit) | Alleen de laatste plek, zonder geschiedenis; hooguit één keer per dag bijgewerkt als je de app opent. Zet je het uit of verwijder je je account, dan wordt hij gewist |
| Sessie- en beveiligingsgegevens: sessie-id, IP-adres, browsertype | Inloggen, misbruik en inbraak tegengaan | Gerechtvaardigd belang (beveiliging) | Sessies 2 uur inactiviteit; serverlogboeken maximaal 7 dagen |
| App-koppeling: een toestelsleutel per telefoon of tablet, en — alleen als je meldingen toestaat — een pushtoken van Apple (iPhone, iPad) of Google (Android), of een pushabonnement van je browser | Aangemeld blijven in de app en de meldingen hieronder bezorgen | Uitvoering van de overeenkomst; meldingen alleen met jouw toestemming (de systeemvraag) | Tot je je op dat toestel afmeldt; een dode pushtoken ruimen we zelf op |
| Bij een drukwerkbestelling: naam, bezorgadres en de gekozen foto’s als drukbestand | Afdrukken en fotoboeken laten drukken en bezorgen | Uitvoering van de overeenkomst | Adres bij de bestelling (factuur 7 jaar, fiscale bewaarplicht); de drukbestand-link verloopt binnen 7 dagen |
| E-mailverkeer (uitnodigingen, wachtwoordreset, export gereed) | Noodzakelijke berichten over je account | Uitvoering van de overeenkomst | Bij de mailprovider kortstondig voor aflevering |
We sturen geen nieuwsbrieven en geen herinneringen om terug te komen. Pushmeldingen bestaan alleen als je ze zelf toestaat, en dan uitsluitend in smalle soorten: “je staat op een foto” wanneer iemand uit je kring je bevestigd op een foto zet, een nieuw bericht in een gesprek waarvan je lid bent (alleen de naam van de afzender, de naam van het gesprek en de soort bericht), de Foto van de dag als je die gebruikt, en — voor de beheerder — het bericht dat iemand de app heeft gekoppeld. Geen activiteitenstrooien, geen “kom eens kijken”. Je kunt desgewenst zelf een periodiek overzicht per e-mail aanzetten.
Waarlangs pushmeldingen reizen. Een pushmelding kan alleen worden bezorgd via de meldingsdienst van de maker van je toestel of browser: Apple Push Notification service (iPhone en iPad; Apple Distribution International Ltd, Ierland), Firebase Cloud Messaging (Android; Google Ireland Limited, Ierland) of de pushdienst van je browser (bij meldingen op de site; de inhoud is dan versleuteld voor je browser). Dit is de enige uitzondering op onze regel dat alles binnen de EER blijft: die diensten horen bij concerns buiten de EER, en gegevens kunnen daarbij buiten de EER worden verwerkt. Daarom reist via die diensten alleen de korte meldingstekst hierboven en een technisch adres van je toestel, nooit de inhoud van berichten of foto’s. Sta je geen meldingen toe, dan gebruiken we die diensten niet.
4. Wat we uitdrukkelijk niet doen
- Geen gezichtsherkenning: we berekenen geen gezichtskenmerken, vergelijken geen gezichten en herkennen niemand — niet binnen je eigen archief en al helemaal niet daarbuiten. Zet je zelf “gezichten opsporen” aan, dan bepaalt de software uitsluitend wáár op een foto een gezicht staat, zodat jij daar een naam bij kunt typen; bewaard wordt alleen dat vakje, en zodra je de naam invult verdwijnt het. Dat is geen biometrische verwerking in de zin van artikel 9 AVG. Standaard staat het uit.
- Geen inhoudsanalyse van foto’s of teksten voor profilering of advertenties.
- Geen externe analytics, trackingpixels, sessieopnames of fingerprinting. We tellen gebeurtenissen (aantal uploads per dag) zonder die aan personen te koppelen.
- Geen koppeling van personen over kringen heen; een naam bij jouw foto is van jou, niet van een register. Koppelen aan een account kan alleen binnen je eigen kring, en wie je noemt kan zijn eigen naam altijd laten weghalen.
- Geen doorgifte buiten de EER en geen Amerikaanse (sub)verwerkers voor je archief zelf. Eén afgebakende uitzondering die je zelf aanzet: sta je pushmeldingen toe, dan bezorgt de meldingsdienst van Apple, Google of je browser die (zie artikel 3). Daarin reist alleen de korte meldingstekst — nooit de inhoud van berichten of foto’s.
5. Wie je gegevens ziet
Dat bepaal jij. Je foto’s en teksten zijn zichtbaar voor je eerstegraads verbindingen (je “kring”). Kies je bij een bericht voor bereik “uitgebreid”, dan kan bij kringen van contacten die als brug dienen een verwijzing verschijnen: alleen je naam en avatar, nooit de inhoud. Wie die inhoud wil zien, moet een verbinding aanvragen die jij kunt weigeren. Een vraag of bijdrage bij een bericht is geen openbare reactie: alleen jij en de archivaris van dat bericht (de plaatser en zijn mede-eigenaars) lezen die draad. Dat staat vermeld op het moment dat je iets schrijft.
Gebied delen met de beheerder. Alleen als je dat zelf aanzet (in de app, onder Menu; standaard staat het uit) delen we een grove plek, je ongeveer gebied (afgerond op zo'n 10 km), met de beheerder van Oikoi, om te zien waar de app wordt gebruikt. De app meet daarvoor hooguit één keer per dag, als je hem opent, nooit op de achtergrond. Alleen de laatste plek wordt bewaard, en het overzicht van de beheerder toont alleen aantallen per gebied, zonder je naam. Andere inwoners zien het nooit. Je kunt het altijd uitzetten, in de app of bij Instellingen › Privacy; dan wordt de plek gewist. Deze plek staat los van een locatie die je zelf in een gesprek deelt.
Medewerkers van Oikoi bekijken je inhoud niet, tenzij dat strikt nodig is om een storing te verhelpen of een melding van onrechtmatige inhoud te beoordelen, en dan alleen voor zover nodig. Beheer kan gemelde inhoud bekijken om de melding te beoordelen; dat bekijken wordt vastgelegd. Is Oikoi wettelijk verplicht of ontvangt het een rechtsgeldige vordering, dan kan het gegevens aan bevoegde autoriteiten verstrekken.
6. Verwerkers
We schakelen uitsluitend Europese partijen in, met een verwerkersovereenkomst. Nieuwe verwerkers buiten de EER zijn contractueel uitgesloten.
- TransIP B.V., Leiden (Nederland) — hosting, opslag en back-ups
- TransIP B.V. (e-mailverzending via smtp.transip.email)
- Mollie B.V., Amsterdam (betalingen) — alleen als je iets afrekent (opslagbundel of drukwerk)
- Profotonet B.V., Nederland — alleen als je drukwerk bestelt: je naam, bezorgadres en de gekozen foto’s als drukbestand
- Apple Distribution International Ltd, Ierland — alleen als je op een iPhone of iPad pushmeldingen toestaat: bezorging van de meldingstekst
- Google Ireland Limited, Ierland — alleen als je op Android pushmeldingen toestaat: bezorging van de meldingstekst
- De pushdienst van je browser — alleen als je op de site meldingen toestaat: bezorging van de versleutelde meldingstekst
Deze lijst houden we actueel op deze pagina.
7. Beveiliging
Verbindingen zijn altijd versleuteld (TLS). Wachtwoorden worden gehasht opgeslagen; tweestapsverificatie is beschikbaar. Foto’s staan nooit op een openbare locatie en worden pas uitgeleverd nadat is gecontroleerd dat je ze mag zien. Bestanden krijgen betekenisloze namen. We maken elke nacht een back-up: een kopie op een aparte schijf bij de server (14 dagen bewaard) en een versleutelde kopie bij een Europese opslagdienst met 14 dagelijkse, 8 wekelijkse en 12 maandelijkse herstelpunten. Bij een datalek dat een risico voor je vormt, informeren we jou en, waar vereist, de Autoriteit Persoonsgegevens binnen 72 uur.
Gesprekken. De inhoud van gesprekken (berichten, foto’s en spraakberichten) wordt versleuteld opgeslagen, met een sleutel per gesprek die op de server wordt beheerd. Dat beschermt tegen datalekken, een gestolen back-up en onbevoegde toegang tot opslag; het is geen end-to-end-versleuteling, dus onze systemen kunnen de inhoud technisch ontsleutelen en dat doen we alleen om de dienst te leveren. Wie wanneer met wie praat is leesbaar, omdat de dienst dat nodig heeft. Een gesprek is nooit zichtbaar in een kring, met één uitzondering die je zelf kiest: in een openbaar eventgesprek verschijnen de foto’s die je plaatst in de kringen van iedereen die in dat event foto’s plaatst (zie artikel 3). Meld je een bericht aan beheer, dan ontvangen wij dat ene bericht, de naam van de afzender, je eigen naam en wat je erbij schrijft; beheer gebruikt dat alleen om de melding te beoordelen. Wie je blokkeert, zie je niet meer in gesprekken; dat wordt alleen voor jou onthouden. Een opgeheven gesprek wordt na 30 dagen voorgoed gewist; daarmee wordt ook de sleutel gewist, zodat de inhoud ook uit een back-up niet meer te lezen is.
8. Kinderen
Een account is bedoeld voor personen van 16 jaar en ouder. Foto’s van kinderen worden geplaatst door volwassenen uit hun eigen kring, onder hun verantwoordelijkheid; op een event plaats je foto’s van andermans kinderen alleen met instemming van hun ouders. Een kind of diens ouder kan ons altijd vragen een foto te laten verwijderen; zie artikel 10.
9. Als je vertrekt
Exporteren kan altijd: je originele foto’s, teksten en eigen reacties als ZIP-bestand, zonder database-codes. Stoppen met plaatsen vraagt geen actie; wat je deelde blijft staan bij wie het al kon zien. Verwijderen van je account is een aparte, bewuste handeling: dan verdwijnen je foto’s, teksten en reacties overal, ook bij de mensen die ze zagen. Uit de back-ups verdwijnen ze vanzelf: uit de lokale kopie na 14 dagen en uit het laatste maandelijkse herstelpunt uiterlijk na twaalf maanden; we zetten nooit iets terug wat jij hebt verwijderd.
10. Je rechten
Je hebt recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar. Veel daarvan kun je zelf in de app: gegevens aanpassen, exporteren en je account verwijderen. Voor het overige mail je privacy@oikoi.nl; we reageren binnen een maand. Sta je zelf op een foto van iemand anders en wil je die weg hebben, dan kun je dat eveneens bij ons melden; zie ook de voorwaarden. Je kunt altijd een klacht indienen bij de Autoriteit Persoonsgegevens.
11. Continuïteit en overname
Een familiearchief is langlopend. Daarom beloven we in onze voorwaarden — niet alleen hier — dat we bij beëindiging van de dienst minimaal 90 dagen vooraf aankondigen en iedereen een volledige export bieden, en dat je gegevens bij een eigendomswijziging niet overgaan naar een partij buiten de EU zonder jouw hernieuwde, individuele toestemming.
12. Wijzigingen
Wijzigen we deze verklaring inhoudelijk, dan melden we dat in de app minimaal 30 dagen vooraf. De datum bovenaan geeft de geldende versie aan.