Kimda

Privacybeleid

Laatst bijgewerkt: 27 oktober 2026

Dit is een automatische vertaling. Juridisch bindend is de Tsjechische versie.

De Tsjechische versie van dit beleid is bindend. Vertalingen naar andere talen dienen ter informatie; bij tegenstrijdigheden prevaleert de Tsjechische versie.

Dit document beschrijft welke gegevens de app Kimda ("de app", "wij") en de website kimda.app verwerken, waarom en op welke rechtsgrond, aan wie we ze doorgeven, hoe lang we ze bewaren en welke rechten jij en je kinderen hebben. De app is bedoeld voor gebruik door het hele gezin, ook door kinderen – daarom gaan we extra zorgvuldig om met gegevensbescherming.

1. Wie is de verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke is Mgr. Ivo Slávka, die de app Kimda exploiteert als zelfstandig ondernemer ingeschreven in het handelsregister bij ÚMČ Praha 8, identificatienummer (IČO) 30070929, gevestigd te Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Tsjechië. Contact e-mail voor vragen over privacy en om je rechten uit te oefenen: privacy@kimda.app.

2. Welke gegevens we verwerken en waarom

Accountgegevens: voornaam, achternaam, telefoonnummer, rol (ouder/kind), gekozen taal en thema, optionele profielfoto, de versie van dit beleid en het tijdstip waarop je ermee akkoord bent gegaan, bij een ouder het tijdstip waarop deze zijn meerderjarigheid heeft bevestigd, en bij een kind het tijdstip, de versie van het beleid en de ouder die namens het kind toestemming heeft gegeven (punt 5). Uw naam en profielfoto zijn zichtbaar voor andere leden van uw gezin in de app (een ouder ziet alle leden, een kind ziet zijn ouders en broers/zussen).
Het telefoonnummer gebruiken we voor identiteitsverificatie (sms-code) en om in te loggen, en de onomkeerbare vingerafdruk ervan ook ter bescherming van de Premium-proefperiode (punt 6), na een nummerwijziging om een verzoek om teruggave van een overgenomen account te verifiëren (beveiligingsregistraties hieronder) en na een herstel van de database uit een back-up om het inloggen tegen te houden op een nummer dat het account eerder heeft verlaten (journaal van telefoonwijzigingen hieronder) - de app stuurt er verder niemand berichten naartoe en deelt het niet met derden, behalve met de aanbieder van de sms-verificatie (Twilio, zie punt 4).
Gezinsgegevens: naam van het gezin, wie erbij hoort, welke rollen en instellingen ieder heeft (percentages voor de verdeling van het zakgeld, valuta, taal en tijdzone van het gezin) en de geschiedenis van wijzigingen in de financiële regels (wie heeft wanneer bijv. de rente, de verdelingspercentages, de valuta of de tijdzone gewijzigd en van welke waarde naar welke).
Aansluitingsverzoeken: voornaam, achternaam, rol en telefoonnummer van de persoon die zich wil aansluiten bij het gezin, en het tijdstip van het verzoek - zodat de ouder ziet wie hij of zij goedkeurt.
Verzoeken om toestemming van ouders: type verzoek (verwijdering van een ouder of verwijdering van het hele gezin), wie het heeft ingediend, wie het betreft en wie het heeft goedgekeurd, afgewezen of geannuleerd (interne identificatoren), tijdstippen (indiening, deadline, herinnering, afhandeling) en resultaat (goedgekeurd, afgewezen, geannuleerd, uitgevoerd na het verstrijken van de termijn of ongeldig gemaakt); namen, telefoonnummers noch vrije tekst slaan we op. Verzoeken zijn zichtbaar voor ouders van het gezin in de app.
Gegevens over klusjes: naam van het klusje, punten, wanneer het is uitgevoerd/goedgekeurd/afgewezen, en foto's als het klusje een foto vereist, inclusief de technische vingerafdruk van de foto (zie punt 3).
Planningen, routines en herinneringen: aan wie een klusje is toegewezen, geplande dag en tijd, status van uitvoering, vertraging, volgorde van de rotatie en of er een herinnering is verstuurd.
Beloningen en doelen: de beloningscatalogus van het gezin, aanvragen voor beloningen, spaardoelen en bedragen die het kind naar een doel heeft overgeboekt. Het overzicht voor ouders leidt uit deze gegevens de totale voltooiing, tijdigheid en gelijkmatigheid van de verdeling af; het maakt geen openbare ranglijst van kinderen.
Financiële gegevens in de app: punten, virtueel zakgeld en de verdeling daarvan, aanvragen voor uitbetaling, leningen en rente binnen het gezin - dit is een interne administratie van de app, geen echte bank- of betaalgegevens. De app heeft geen toegang tot een bankrekening of betaalkaart. Het maandelijkse overzicht van een kind (aantal goedgekeurde taken, punten en met Premium ook het bedrag voor de huidige maand; niet de potjessaldi) is ook zichtbaar voor andere kinderen in hetzelfde gezin, tenzij een ouder dit uitschakelt in de gezinsinstellingen.
Registraties van directe uitbetalingen en handmatige aflossingen: wanneer een ouder in de app een deel van het saldo van het kind direct uitbetaalt (zonder verzoek van het kind) of handmatig een aflossing van diens lening registreert, slaat de server over elke dergelijke bewerking een afzonderlijke registratie op die verder niet meer wordt gewijzigd. Deze bevat de interne identificatoren van het gezin, het kind en de ouder die de bewerking heeft uitgevoerd, het soort bewerking (directe uitbetaling, handmatige aflossing), het bedrag, bij een uitbetaling het potje waaruit werd uitbetaald, en de uitsplitsing van het bedrag (bij een uitbetaling in een deel uit eigen stortingen en een deel uit bijgeschreven rente, bij een aflossing in hoofdsom en rente), het tijdstip van de bewerking en de willekeurige identificator van het verzoek. De registratie dient ertoe om te kunnen aantonen wat en wanneer de ouder in de app heeft vastgelegd, en om een eventueel geschil binnen het gezin te kunnen beoordelen op basis van de registratie, en niet alleen op basis van het uiteindelijke saldo. Het betreft een interne administratie van de app - de app maakt zelf geen geld over. De registraties maken deel uit van de gegevensexport (punt 7) en worden bewaard volgens punt 6.
Abonnement: de abonnementsstatus van het gezin (proefperiode, Premium, de geldigheid en verlenging daarvan) en eventuele gratis toegang via een promocode; de promocodes zelf slaat de server alleen op als HMAC-vingerafdruk en hij registreert het beheer van de codes (wie, wanneer, welke actie). Betaalgegevens zien we niet - de betaling wordt verwerkt door Apple of Google. Het bewijs van toestemming voor de onmiddellijke start van Premium, dat we bewaren als bewijs van deze toestemming, wordt beschreven in punt 6.
Inloggen en beveiliging: inlogsessies van individuele apparaten (wanneer aangemaakt, wanneer voor het laatst gebruikt en tot wanneer geldig). De ouder ziet in het Profiel een overzicht van zijn ingelogde apparaten (alleen het tijdstip van inloggen en laatste gebruik, zonder IP-adres en apparaatnaam) en kan deze afzonderlijk uitloggen. Vernieuwingstokens slaat de server alleen op als SHA-256 vingerafdrukken, inclusief vingerafdrukken van reeds vervangen tokens, om misbruik van een gestolen token te herkennen. Bij een verzoek om een sms-code slaat hij een gesleutelde vingerafdruk (HMAC-SHA-256) van het telefoonnummer en een SHA-256 vingerafdruk van de eenmalige uitdaging op, samen met het aantal pogingen, bij een nummerwijziging en bij de bevestiging van de verwijdering van het gezin ook het doel ervan en de interne identificator van het account. Limieten voor het aantal verzoeken, inclusief de dagelijkse limiet voor verzonden sms'jes, berekent hij op basis van de gesleutelde vingerafdruk (HMAC-SHA-256) van het IP-adres of het netwerk ervan (IPv4 /24, IPv6 /56), het telefoonnummer, de combinatie van telefoonnummer en netwerk of het account, of op basis van het land of het netnummer van het telefoonnummer. De sleutel voor deze vingerafdrukken leidt de server af van een geheime sleutel die buiten de database is opgeslagen, zodat de vingerafdruk zonder deze niet kan worden herleid naar het telefoonnummer of IP-adres. Beveiligingsregistraties van belangrijke gebeurtenissen (bijv. inloggen, aansluitingsverzoek, goedkeuring, afwijzing of verwijdering van een lid, nieuwe uitnodigingscode, uitloggen van een apparaat, wijziging van telefoonnummer, bevestiging van het beleid, toestemming van de ouder namens het kind of vermoeden van misbruik van een token) bevatten het type gebeurtenis, het tijdstip en interne identificatoren; bij verwijdering van een lid bovendien zijn rol (ouder/kind), bij bevestiging van het beleid en toestemming van de ouder de versie van het beleid en bij verwijdering van het account van een kind dat een schuld, saldo of openstaande aanvragen had, ook de valuta, afgeschreven bedragen en het aantal openstaande aanvragen. De registratie van een nummerwijziging bevat bovendien de onomkeerbare vingerafdruk van het oorspronkelijke nummer (HMAC met een geheime sleutel), zodat de ondersteuning kan verifiëren dat het verzoek om teruggave van een overgenomen account wordt ingediend door de werkelijke eigenaar van het oorspronkelijke nummer. Namen, telefoonnummers of IP-adressen staan er niet in. Wijzigingen van het telefoonnummer en de verwijdering of het herstel van een gezinslid worden bovendien opgenomen in een afzonderlijk journaal, dat wordt beschreven in het opsommingspunt „Journaal van telefoonwijzigingen en lidstatus“ hieronder.
Beveiligingsmeldingen: wanneer een ouder inlogt met een sms-code, krijgen de andere ouders in het gezin een algemene melding zonder naam en telefoonnummer; bij elke inlog met een sms-code (van ouder en kind) krijgen bestaande ingelogde apparaten van hetzelfde account ook een algemene melding over de nieuwe login. Bij wijziging van het telefoonnummer (het nieuwe nummer wordt geverifieerd met een sms-code) logt de server de overige ingelogde apparaten van het account uit en ontvangen bestaande apparaten van het account evenals de ouders in het gezin een algemene melding; het oorspronkelijke nummer wordt niet langer bewaard – alleen de onomkeerbare vingerafdruk ervan blijft bewaard in de beveiligingsregistratie van de wijziging (30 dagen, zie sectie 6), de onomkeerbare vingerafdrukken van het oorspronkelijke en het nieuwe nummer in het journaal van telefoonwijzigingen (60 dagen, zie hieronder en sectie 6) en bij een ouder die lid was van het gezin tijdens diens proefperiode, ook de vingerafdruk volgens sectie 6. Wanneer de ondersteuning op verzoek van de accounteigenaar het nummer herstelt, verifieert deze eerst diens identiteit: met een sms-code gestuurd naar het oorspronkelijke nummer, waarvan de vingerafdruk moet overeenkomen met de vingerafdruk in de registratie van de nummerwijziging. Wanneer een dergelijke verificatie niet mogelijk is (de registratie van de wijziging bestaat niet meer of de eigenaar heeft het oorspronkelijke nummer niet), verifieert deze de identiteit met een bevestiging van een andere ouder in het gezin (geverifieerd met een sms-code gestuurd naar het nummer van deze ouder) en met antwoorden op vragen gesteld door de ondersteuning; in dat geval stuurt deze eerst een melding naar de apparaten van het account en naar de ouders in het gezin en geeft het nummer op zijn vroegst na 72 uur terug, als niemand hiertegen bezwaar maakt; je ziet deze melding na het inloggen ook direct in de app gedurende de hele termijn. Zonder een dergelijke verificatie herstelt deze het nummer niet en annuleert deze geen enkel verzoek – maar kan deze alleen het account op alle apparaten uitloggen. Als de ondersteuning hetzelfde account in de afgelopen 30 dagen al eens heeft teruggegeven, beschouwt deze een volgend verzoek als een geschil en herstelt deze het nummer niet zonder verdere verificatie. Na het herstel logt de server het account uit op alle apparaten, ouders in het gezin ontvangen een algemene melding en de ingreep wordt geregistreerd (wie deze heeft uitgevoerd, wanneer, welk account het betreft en een link naar uw verzoek – zonder telefoonnummer). Ouders krijgen ook een algemene melding bij verwijdering van het account van een kind, bij verwijdering van een andere ouder (ook de verwijderde ouder) en bij vermoeden van misbruik van een inlogtoken; in dat geval logt de server het account uit op alle apparaten en annuleert hij de registraties ervan voor meldingen. Beveiligingsmeldingen (bijv. over een nieuwe login of een nieuw apparaat, wijziging van het telefoonnummer, wijziging van financiële regels, verwijdering van een lid, verwijdering van het account van een kind of vermoeden van misbruik van een token) slaat de server eerst op in een wachtrij (soort melding, ontvanger - pushtoken van het apparaat of interne identificator van het gezin of account en taal - en algemeen technisch type gebeurtenis) en pas van daaruit bezorgt hij ze; de melding bij het teruggeven van een overgenomen account door de ondersteuning (zie hierboven) verzendt hij direct. Als het zelfs na herhaalde pogingen niet lukt om de meldingen aan ouders of apparaten van het account van een gezinslid te bezorgen, slaat de server alleen de interne identificator van het gezin, het soort melding en het tijdstip op (zonder pushtoken en zonder naam), zodat de ouder na de volgende inlog in de app kan zien om welke melding het ging en deze kan bevestigen; als de ontvanger geen apparaat heeft waarnaar de melding kan worden gestuurd, wordt een dergelijke registratie niet aangemaakt. De bewaartermijnen worden vastgesteld in punt 6.
Journaal van telefoonwijzigingen en lidstatus: naast de bovenstaande beveiligingsregistraties houdt de server voor elke wijziging van het telefoonnummer van het account (of u deze nu zelf doorvoert in het Profiel, of de ondersteuning dit op uw verzoek doet) en voor elke verwijdering of elk herstel van een gezinslid een afzonderlijke registratie in het journaal bij. Het record bevat een willekeurige identificator van het record, interne identificatoren van het account en het gezin, het soort gebeurtenis (nummerwijziging, nummerherstel door ondersteuning, verwijdering van een lid, herstel van een lid), het tijdstip van de gebeurtenis en - alleen bij een nummerwijziging - onomkeerbare vingerafdrukken van zowel het oorspronkelijke als het nieuwe nummer (HMAC-SHA-256 met een geheime sleutel die buiten de database wordt bewaard). Bij verwijdering en herstel van een lid zijn er geen vingerafdrukken. Telefoonnummers, namen of IP-adressen staan niet in het journaal. De vingerafdruk kan zonder de geheime sleutel niet worden herleid naar het telefoonnummer, maar omdat deze is gekoppeld aan de interne identificator van het account, betreft het een pseudoniem gegeven, geen anoniem gegeven. Het journaal dient uitsluitend ter bescherming tegen de gevolgen van het herstellen van de database uit een back-up: om te voorkomen dat een nummer terugkeert naar het account dat het account intussen heeft verlaten (en dat iemand anders mogelijk heeft overgenomen), en om de verwijdering van een gezinslid die niet in de back-up staat opnieuw toe te passen. De server vergelijkt daarom bij het inloggen met een sms-code en bij verificatie van het telefoonnummer de vingerafdruk van het ingevoerde nummer met de laatste registratie in het journaal; als deze niet overeenkomt, houdt deze het inloggen tegen en verwijst naar de ondersteuning. De registratie wordt opgeslagen in de database en doorgaans binnen enkele minuten ook in een kopie in een afzonderlijke niet-openbare opslag van Cloudflare R2 (punt 4), zodat deze het verlies van de database tussen back-ups overleeft. De bewaartermijnen zijn bepaald in punt 6.
Technische gegevens: pushtoken en een willekeurige apparaatidentificatie die de app aanmaakt voor het bezorgen van meldingen (dit is geen hardware-identificatie), het tijdstip van de laatste apparaatregistratie, de login waartoe de registratie behoort, en de SHA-256 vingerafdruk van het willekeurige installatiegeheim waarmee het apparaat aantoont dat het pushtoken erbij hoort. Na vrijgave van de registratie (uitloggen, verwijdering van een lid, beveiligingsblokkering of automatische opschoning) onthoudt de server twee in tijd beperkte records om te voorkomen dat een account van iemand anders de meldingen van het apparaat kan overnemen: (a) een record van het vrijgegeven pushtoken - de SHA-256 vingerafdrukken van het pushtoken en het installatiegeheim, de interne identificator van het gezin en het tijdstip van vrijgave (het vrijgegeven token kan zo niet worden overgenomen door een account uit een ander gezin); en (b) een record van het vrijgegeven apparaat - de interne identificator van het account, de willekeurige apparaatidentificatie, dezelfde vingerafdrukken en het tijdstip van vrijgave (het vrijgegeven apparaat kan zo niet, zonder aan te tonen dat het om dezelfde installatie gaat, opnieuw worden ingenomen door een andere inlogsessie van hetzelfde account, bijvoorbeeld een gestolen sessie). De server bewaart verder gedurende 30 dagen een record van de apparaatregistratie (de interne identificator van het account en het apparaat, de vingerafdruk van het pushtoken, het type gebeurtenis en het tijdstip), waarmee hij de limiet voor registraties van nieuwe apparaten per 24 uur bewaakt. De bewaartermijnen zijn bepaald in punt 6; het record van het vrijgegeven apparaat wordt bij verwijdering van het account niet bijgehouden. Verder operationele logs van de server (bijv. foutstatussen) zonder telefoonnummers en de inhoud van verzoeken. Op de telefoon bewaart de app inlogtokens in een beveiligde opslag en onthoudt verder de gekozen taal en het thema; deze geeft de gekozen taal ook door aan de server, zodat meldingen in uw taal aankomen. Wat de app rechtstreeks naar de diensten Expo en Sentry stuurt, wordt beschreven in punt 4.

Waarom we gegevens verwerken en op welke rechtsgrond:

Gezinsaccount en app-functies (registratie, gezin, klusjes en foto's, planningen, herinneringen, beloningen, doelen, zakgeld inclusief registraties van directe uitbetalingen en handmatige aflossingen, meldingen en abonnement): uitvoering van een overeenkomst, namelijk de gebruiksvoorwaarden (Art. 6(1)(b) AVG). Registraties van directe uitbetalingen en handmatige aflossingen en de geschiedenis van wijzigingen van financiële regels verwerken we bovendien op basis van ons gerechtvaardigd belang bij de aantoonbaarheid van financiële bewerkingen en regels in de app en bij het oplossen van geschillen binnen het gezin (Art. 6(1)(f) AVG). Het bewijs van toestemming voor de onmiddellijke start van Premium en een kopie daarvan buiten de database verwerken we bovendien op basis van ons gerechtvaardigd belang bij het aantonen van deze toestemming en bij de verdediging van juridische claims (Art. 6(1)(f) AVG). Voor gegevens van kinderen zie punt 5.
Inloggen geverifieerd met sms-code: uitvoering van een overeenkomst (Art. 6(1)(b) AVG) - zonder een geverifieerd telefoonnummer kun je niet inloggen in de app.
Beveiliging en bescherming tegen misbruik (sessies en tokenvingerafdrukken, sms-code uitdagingen, limieten voor het aantal verzoeken en dagelijkse sms-limiet, beveiligingsregistraties, journaal van telefoonwijzigingen en lidstatus, geheugen van vrijgegeven pushtokens en apparaten, registratie van apparaatregistratie en limiet voor registraties van nieuwe apparaten per 24 uur, wachtrij van beveiligingsmeldingen en administratie van onbestelbare meldingen, operationele logs, de vingerafdruk van het telefoonnummer om herhaaldelijk gebruik van de proefperiode te voorkomen, verzoeken om toestemming van ouders die het gezin beschermen tegen eenzijdige verwijdering van een ouder of verwijdering, en identiteitsverificatie wanneer de ondersteuning een overgenomen account teruggeeft inclusief de registratie van dergelijke ingrepen): ons gerechtvaardigd belang bij een veilige werking van de dienst, bescherming van de accounts van ouders en kinderen en verdediging tegen misbruik van sms-verificatie (Art. 6(1)(f) AVG).
Fouten oplossen en app-updates (foutmeldingen via Sentry, updates via Expo): ons gerechtvaardigd belang bij een stabiele en veilige app (Art. 6(1)(f) AVG).
Afhandeling van je verzoeken volgens punt 7 en bewijs van hoe en wanneer we ze hebben afgehandeld (bijv. de status van een uitgevoerde verwijdering, logboek van uitgevoerde verwijderingen en taak voor externe verwijdering): voldoen aan een wettelijke verplichting (Art. 6(1)(c) AVG).
Meten van advertenties op de website kimda.app (Meta Pixel): je toestemming (Art. 6(1)(a) AVG), zie punt 9.

Tegen verwerking op basis van een gerechtvaardigd belang kun je bezwaar maken (punt 7). Het telefoonnummer is noodzakelijk voor registratie en inloggen; zonder dit kan de app niet worden gebruikt. Een profielfoto is vrijwillig en een foto van een voltooid klusje is alleen nodig voor klusjes waarbij de ouder dit vereist. Geautomatiseerde besluitvorming of profilering met rechtsgevolgen of soortgelijke wezenlijke gevolgen (Art. 22 AVG) gebruiken we niet; automatische beveiligingslimieten, die bijvoorbeeld tijdelijk verdere pogingen voor een sms-code blokkeren, dienen alleen om accounts en de dienst te beschermen.

3. Foto's bij klusjes

Foto's die een kind (of een ouder namens het kind) bij een klusje uploadt, zijn alleen zichtbaar voor leden van hetzelfde gezin (ouders en kinderen in de app). Ze zijn niet openbaar, de app deelt ze met geen enkele andere app of sociaal netwerk. Een foto voor een klusje kan alleen worden gemaakt met de camera in de app. De app en daarna opnieuw de server verwijderen metadata (bijvoorbeeld GPS-locatie of cameragegevens) uit de foto voordat deze wordt opgeslagen. Foto's worden opgeslagen in een niet-openbare objectopslag (zie punt 4) en de server geeft ze alleen vrij aan een ingelogd lid van hetzelfde gezin. Een ouder kan op elk moment vragen om ze te verwijderen.

Voor elke geüploade foto berekent de server een technische vingerafdruk (checksum en een vereenvoudigde afbeeldingsvingerafdruk van 64 bits). Dit dient er alleen voor dat de app herkent wanneer dezelfde of een vrijwel identieke foto opnieuw voor een klusje wordt gebruikt, en dat de foto hoort bij het klusje waarvoor het kind deze zojuist in de app heeft gemaakt. Uit de vingerafdruk kan de foto niet worden weergegeven of gereconstrueerd en deze wordt samen met de foto verwijderd. De registratie van de tijduitdaging voor de foto (wie deze in de app heeft aangevraagd, voor welk klusje en wanneer) wordt na 7 dagen door de server verwijderd. De ouder ziet bij de foto een waarschuwing wanneer de foto geen geldige tijdcontrole van de app heeft of zeer vergelijkbaar is met een eerdere foto, als hulpmiddel bij de goedkeuring; de controle garandeert niet dat de foto niet kan worden vervalst.

4. Aan wie we gegevens doorgeven en doorgifte buiten de EU

We geven gegevens alleen door aan aanbieders die voor ons de werking van de app verzorgen (verwerkers), en alleen voor zover zij deze daarvoor nodig hebben. Verwerkers mogen de gegevens alleen gebruiken voor het leveren van hun dienst aan ons en volgens onze instructies. Apple en Google treden bij aankopen in de stores op als zelfstandige verwerkingsverantwoordelijken.

Hostingprovider (Railway) - beheert de server van de app en de database waarin de gegevens van de app zijn opgeslagen.
Cloudflare - de privé-objectopslag R2 bewaart versleuteld overgedragen profielfoto's en foto's van voltooide klusjes, databaseback-ups (versleuteld nog voor verzending zodat ze alleen kunnen worden ontsleuteld met een privésleutel die we buiten de cloud bewaren), een logboek van uitgevoerde verwijderingen (alleen interne identificatoren, soort verwijdering en tijdstip), het journaal van telefoonwijzigingen en lidstatus (punt 2: interne identificatoren, type en tijdstip van de gebeurtenis en bij een nummerwijziging onomkeerbare vingerafdrukken van nummers) en een kopie van het bewijs van toestemming voor de onmiddellijke start van Premium (punt 6: interne identificatoren van het gezin en de gebruiker, tijdstip van toestemming, gekozen plan, begin van de betaalde periode, transactie-identificatie van de winkel en de versie van de weergegeven tekst) in niet-openbare buckets; de toegang tot de foto's wordt verder geregeld door de ingelogde backend van Kimda. Cloudflare beheert ook de website kimda.app (punt 9).
Twilio (verificatie van het telefoonnummer met een sms-code) - ontvangt het telefoonnummer en de code die je invoert, alleen om de sms-code te bezorgen en te verifiëren.
Expo (650 Industries) - ten eerste bezorgt het meldingen: het ontvangt het pushtoken van het apparaat, de installatie-identificatie voor meldingen, het native token van Apple of Google, een algemene tekst of emoji van de melding en een algemeen technisch type gebeurtenis. Database-ID's, namen, namen van klusjes of bedragen sturen we niet mee in pushberichten. Expo stuurt het bericht door naar de pushdienst van Apple (Apple Push Notification service) of Google (Firebase Cloud Messaging). Ten tweede levert het app-updates (EAS Update): de app vraagt bij elke start aan de servers van Expo of er een reparatie beschikbaar is. Expo ontvangt daarbij het IP-adres van het apparaat, het platform, de app-versie, de identificatie van de geïnstalleerde update, eventueel de tekst van de laatste fout die de app heeft afgesloten, en een willekeurige installatie-identificatie EAS-Client-ID, die de app permanent op de telefoon opslaat en die niet verandert, zelfs niet na uitloggen. We koppelen dit niet aan je account en de app stuurt het niet naar onze server.
Apple en Google - als zelfstandige verwerkingsverantwoordelijken verwerken zij de aankoop en het beheer van abonnementen in de App Store en Google Play; als pushdiensten (Apple Push Notification service, Firebase Cloud Messaging) bezorgen zij meldingen op apparaten.
RevenueCat (verwerking van abonnementen via de App Store / Google Play, alleen bij ouderaccounts) - verwerkt de gezins-ID, de aankoopgeschiedenis, het Apple-aankoopbewijs of het Google-aankooptoken, het tijdstip van laatste gebruik en technische apparaatgegevens (bijv. type apparaat en besturingssysteem). Van Kimda ontvangt RevenueCat geen naam of telefoonnummer van ouder of kind. In de app zijn geen advertentie- of attributie-integraties van RevenueCat ingeschakeld en worden advertentie-ID's niet handmatig verzameld.
Sentry (technische foutmeldingen van de app en de server, om fouten op te lossen) - ontvangt het type fout, de locatie in de code, de versie van de app en het besturingssysteem. Zowel de app als de server zijn zo ingesteld dat er geen naam, telefoonnummer, inlogtoken, inhoud van verzoeken of IP-adres naar Sentry worden gestuurd. De organisatie Kimda in Sentry wordt gehost in de EU-dataregio (Duitsland).
E-mailprovider (Spaceship, dienst Spacemail) - bezorgt en bewaart e-mails die je ons stuurt op privacy@kimda.app of support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google en Meta (punt 9) zijn bedrijven die gevestigd zijn of infrastructuur hebben in de VS, en kunnen daarom gegevens ook buiten de Europese Economische Ruimte verwerken. Bij doorgifte buiten de Europese Economische Ruimte gebruiken we een mechanisme volgens hoofdstuk V van de AVG dat van toepassing is op de specifieke ontvanger en verwerking - meestal certificering van de ontvanger in het kader van het EU-USA Data Privacy Framework (adequaatheidsbesluit van de Europese Commissie, Art. 45 AVG) of standaardcontractbepalingen die zijn goedgekeurd door de Europese Commissie (Art. 46(2)(c) AVG). Informatie over het mechanisme bij een specifieke ontvanger en over waar een kopie van de betreffende waarborgen kan worden verkregen, verstrekken we je op verzoek via privacy@kimda.app.

We verkopen geen gegevens uit de app, delen ze niet met adverteerders en gebruiken ze niet voor gerichte reclame. Het meten van advertenties op de website kimda.app met toestemming van de bezoeker wordt beschreven in punt 9.

5. Toestemming van ouders en de rol van kinderen

Alleen een volwassene mag de app in gebruik nemen (de rol "ouder" en een nieuw gezin aanmaken). Een account met de rol "kind" ontstaat altijd pas na aansluiting met een uitnodigingscode die alleen de ouder kent - een kind kan dus alleen meedoen met medeweten en toestemming van de ouder die de code deelt. Bovendien moet elke aansluiting van een kind en een andere ouder uitdrukkelijk door de ouder in de app worden goedgekeurd; tot de goedkeuring ziet het nieuwe lid uit het gezin alleen de naam ervan. De uitnodigingscode van het gezin is 48 uur geldig, een niet-goedgekeurd verzoek wordt na 72 uur automatisch verwijderd en een afgewezen of geannuleerd verzoek onmiddellijk. Door je te registreren met de rol "ouder" bevestig je dat je meerderjarig bent en dat je wettelijk bevoegd bent om toestemming te geven voor de verwerking van de gegevens van je kinderen in de app.

We verwerken de gegevens van het kind alleen voor zover nodig voor de werking van het gezinsaccount dat de ouder heeft aangemaakt en beheert, dus voor de uitvoering van de overeenkomst met de ouder (Art. 6(1)(b) AVG). De ouder beslist als wettelijke vertegenwoordiger over de deelname van het kind: deelt de uitnodigingscode, keurt de aansluiting van het kind uitdrukkelijk goed en kan het kind op elk moment uit het gezin verwijderen of vragen om het account te verwijderen. Het kind neemt bij registratie alleen kennis van het beleid; toestemming voor de verwerking van zijn gegevens wordt gegeven door de ouder wanneer deze de aansluiting van het kind in de app goedkeurt, en de server registreert het tijdstip, de ouder en de versie van het beleid. Bij kinderen die zijn goedgekeurd met een oudere versie van de app, zal de app de ontbrekende toestemming achteraf aan de ouder vragen. Als de verwerking toestemming zou vereisen en het kind nog geen 15 jaar oud is (de leeftijdsgrens in Tsjechië volgens Art. 8 AVG en § 7 van Wet nr. 110/2019 Coll., inzake de verwerking van persoonsgegevens), geeft de ouder toestemming namens het kind. De rechten van het kind volgens punt 7 kunnen namens het kind door de ouder worden uitgeoefend.

6. Hoe lang we gegevens bewaren

Gegevens van het account en het gezin bewaren we totdat de gebruiker vraagt om het account of het hele gezin te verwijderen. Het enkele feit dat de app niet wordt gebruikt, leidt niet tot automatische verwijdering. De gebruiker hoeft de app dus niet regelmatig te openen om de gezinsgeschiedenis niet kwijt te raken, en kan de verwijdering op elk moment rechtstreeks in de app starten of erom vragen via privacy@kimda.app. De geschiedenis van wijzigingen in de financiële regels (punt 2) bewaren we gedurende het hele bestaan van het gezin, zonder tijdslimiet of limiet voor het totale aantal (het gezin mag wijzigingen in de financiële regels maximaal 30 keer per uur opslaan), omdat deze dient als een onveranderlijk bewijs van wie de regels heeft gewijzigd en wanneer, bijvoorbeeld bij een geschil tussen ouders; in de app kan deze niet worden bewerkt of verwijderd. Na verwijdering van het hele gezin (punt 7) verwijdert de server deze bij de eerstvolgende opschoning; de verwijdering van het account van een afzonderlijk lid wijzigt deze niet en er blijft alleen een interne identificator zonder naam bij achter.

Voor de overige individuele registraties gelden deze termijnen:

Sms-code uitdagingen (vingerafdrukken van het telefoonnummer en de uitdaging): zijn 10 minuten geldig; na succesvolle verificatie verwijdert de server ze direct, anders uiterlijk een uur na het verlopen ervan.
Limieten voor het aantal verzoeken en dagelijkse sms-limiet (vingerafdrukken): de server verwijdert ze 24 uur na het einde van de gevolgde periode; de dagelijkse sms-limiet eindigt altijd om middernacht UTC.
Inlogsessies: het inlogtoken is 15 minuten geldig; de sessie eindigt na 30 dagen inactiviteit, uiterlijk na 90 dagen, of eerder door uitloggen. Een beëindigde sessie inclusief de tokenvingerafdrukken verwijdert de server 30 dagen na beëindiging.
Uitnodigingen en aansluitingsverzoeken: de uitnodigingscode van het gezin is 48 uur geldig en een uitnodiging voor een andere ouder 24 uur; een niet-goedgekeurd aansluitingsverzoek wordt na 72 uur automatisch verwijderd, een afgewezen of geannuleerd verzoek onmiddellijk. De registratie van een uitnodiging voor een andere ouder (code, wie deze heeft aangemaakt en wie deze heeft gebruikt) verwijdert de server 30 dagen na het verlopen, gebruiken of annuleren ervan.
Beveiligingsregistraties in de database (punt 2): de server verwijdert ze na 30 dagen zelf. Het journaal van telefoonwijzigingen en lidstatus volgt een eigen termijn die hieronder wordt vermeld.
Journaal van telefoonwijzigingen en lidstatus (punt 2): de server verwijdert een record in de database op zijn vroegst 60 dagen na het ontstaan ervan, en pas nadat het is gekopieerd naar een afzonderlijke opslag (de kopie ontstaat doorgaans binnen enkele minuten). Een record dat niet kon worden gekopieerd, verwijdert de server niet totdat het kopiëren is gelukt, en blijft daarom ook langer dan 60 dagen in de database staan. De kopie in de afzonderlijke niet-openbare opslag van Cloudflare R2 wordt door de opslag zelf verwijderd na 60 dagen vanaf de opslag ervan. Bij verwijdering van het account of het hele gezin (punt 7) verwijdert de server de journaalrecords van het verwijderde account of gezin uit de database; de kopie ervan in de opslag vervalt uiterlijk 60 dagen na opslag.
Foto's: niet-gekoppelde foto's die niet aan een profiel of klusje konden worden toegewezen, verwijdert de server na 24 uur; de registratie van de tijduitdaging voor de foto verwijdert hij na 7 dagen (punt 3) en de technische registratie van een verwijderde foto (alleen interne identificatoren) 30 dagen na het verwijderen van de foto.
Pushtoken en apparaatidentificatie: tot het apparaat wordt uitgelogd, het lid uit het gezin wordt verwijderd of het account wordt verwijderd, of totdat Apple of Google het als ongeldig markeert. De server verwijdert ze bovendien zelf wanneer de app de apparaatregistratie 90 dagen niet heeft vernieuwd (deze wordt vernieuwd bij elke keer inloggen en opstarten), of wanneer de gebruiker langer dan 30 dagen geen geldige inlogsessie heeft. Na het uitloggen van het apparaat (ook op afstand in het Profiel) of het beëindigen van de login ervan, wordt er niets op het apparaat bezorgd. Een uitzondering vormen registraties van vóór de implementatie van deze versie, die de app sindsdien niet heeft vernieuwd: het op afstand uitloggen van één apparaat koppelt deze niet los, de optie Alle apparaten uitloggen wel; anders verwijdert de server ze volgens de bovenstaande termijnen. Het record van het vrijgegeven pushtoken (vingerafdrukken, gezin en tijdstip) verwijdert de server na 30 dagen, of eerder als het apparaat zich opnieuw registreert. Het record van het vrijgegeven apparaat (interne identificator van het account, willekeurige apparaatidentificatie, vingerafdrukken en tijdstip) verwijdert de server na 91 dagen - dus pas na het verstrijken van de langst mogelijke geldigheid van een inlogsessie (90 dagen) - of eerder als het apparaat van hetzelfde account zich opnieuw registreert. Het record van het vrijgegeven apparaat wordt bij het verwijderen van het account niet bijgehouden; als het al is ontstaan bij het starten van de verwijdering, verwijdert de server het bij de voltooiing ervan. De termijn voor het record van het vrijgegeven pushtoken blijft daarmee ongewijzigd. De technische vingerafdruk van het pushtoken bij een verzonden herinnering dient alleen om de bezorging te verifiëren; de server verwijdert deze na evaluatie van de bezorging, uiterlijk 30 dagen na verzending. Het record van de apparaatregistratie (interne identificator van het account en het apparaat, vingerafdruk van het pushtoken, type gebeurtenis en tijdstip; punt 2) verwijdert de server na 30 dagen na het ontstaan ervan, zelfs als je het account in de tussentijd verwijdert.
Wachtrij van beveiligingsmeldingen en onbezorgde meldingen (punt 2): gegevens over de ontvanger van de melding (pushtoken van het apparaat of interne identificator van het gezin of account en taal) verwijdert de server uit de opgeslagen registratie van de wachtrij onmiddellijk na de bezorging of na het opgeven van de bezorging, maar uiterlijk 7 dagen na het ontstaan van de melding; alleen de interne identificator van het gezin (bij een uitzonderlijke databasefout tijdelijk ook van het account) kan daarin blijven tot het wegschrijven van de registratie van de onbezorgde melding (zie hieronder). Het overgebleven record (soort melding, algemeen technisch type gebeurtenis, tijdstip en technische foutmelding) verwijdert hij 30 dagen na de verwerking. Het record van een onbezorgde melding voor een ouder (interne identificator van het gezin, soort melding en tijdstip, zonder pushtoken en zonder naam) bewaart hij totdat de ouder deze in de app bevestigt; een bevestigd record verwijdert hij zodra deze ouder is dan 90 dagen. Het record van een gezin dat niet meer bestaat, verwijdert hij bij de eerstvolgende opschoning.
Opgeslagen antwoorden van financiële bewerkingen: om te voorkomen dat een herhaald verzoek na een netwerkstoring een uitbetaling, lening of andere financiële bewerking twee keer registreert, onthoudt de server het antwoord erop 30 dagen. Het record van de bewerking zelf (soort bewerking, de willekeurige identificator ervan, de interne identificatoren van het gezin, de actor en het betrokken lid, de SHA-256 vingerafdruk van het verzoek en het tijdstip) maakt deel uit van de financiële geschiedenis en wordt bewaard tot het account of het gezin wordt verwijderd.
Registraties van directe uitbetalingen en handmatige aflossingen (punt 2): in tegenstelling tot het opgeslagen antwoord hierboven, dat na 30 dagen wordt verwijderd, worden deze registraties bewaard totdat het kind waarop ze betrekking hebben of het hele gezin wordt verwijderd (punt 7).
Opgeslagen registraties van herhaalde verzoeken van de planner: om te voorkomen dat een herhaald verzoek na een netwerkstoring tweemaal een klusjesplan aanmaakt, bewaart de server gedurende 60 dagen een registratie van de aanmaak ervan (interne identificatoren van het gezin en de ouder, soort bewerking, willekeurige identificatie van het verzoek, SHA-256 vingerafdruk van de opgegeven planparameters, link naar het aangemaakte plan en tijdstip). De server verwijdert het record ook bij verwijdering van het account van de ouder die het plan heeft aangemaakt, en bij verwijdering van het hele gezin (punt 7).
Verzoek om accountverwijdering: een onbevestigd verzoek tot verwijdering vervalt na 45 dagen en wordt uiterlijk na nog eens 400 dagen verwijderd; de registratie van de uitgevoerde verwijdering (alleen interne identificatoren en status, zonder namen en contactgegevens) bewaren we als bewijs dat we je verzoek hebben afgehandeld, namelijk 3 jaar na de afhandeling. In dezelfde omvang (interne willekeurige identificatie van het account of gezin, soort verwijdering en tijdstip) houden we een logboek van uitgevoerde verwijderingen bij, zodat na een eventueel herstel van de database uit een back-up alle latere verwijderingen opnieuw worden toegepast. Een logboekrecord in de database verwijdert de server op zijn vroegst 180 dagen na het ontstaan ervan, en pas nadat hij het naar een afzonderlijke opslag heeft gekopieerd (de kopie ontstaat meestal binnen enkele minuten); een record dat niet kon worden gekopieerd, verwijdert de server niet totdat het kopiëren is gelukt. De kopie in de afzonderlijke niet-openbare opslag wordt door de opslag zelf na 60 dagen na de opslag verwijderd. De versleutelde export van het logboek, die deel uitmaakt van de databaseback-up, vervalt samen met de back-up (uiterlijk na 30 dagen).
Verzoeken om toestemming van ouders: een openstaand verzoek is 14 dagen geldig; dit wordt alleen verlengd als er intussen een ouder aan het gezin wordt toegevoegd (bij een verzoek om het gezin te verwijderen krijgt de nieuwe ouder een eigen termijn van 14 dagen, maar maximaal tot het einde van de eventuele beschermingstermijn na verwijdering van een andere ouder), of na herstel van de database vanaf een back-up (behalve bij een verzoek om het gezin te verwijderen, dat slechts geldig is tot het einde van de beschermingstermijn). Een verzoek om het gezin te verwijderen dat tijdens de termijn van 14 dagen na verwijdering van een andere ouder zou aflopen, duurt tot het einde van deze termijn en vervalt dan. Tijdens de termijn van 14 dagen na verwijdering van een andere ouder kan het gezin niet worden verwijderd; een verzoek om het gezin te verwijderen dat binnen deze termijn is ingediend, vervalt na afloop ervan. Na afloop van de termijn kan de enige overgebleven ouder het gezin direct in het Profiel verwijderen. Een afgehandeld verzoek verwijdert de server na 90 dagen.
Vingerafdruk van het telefoonnummer na accountverwijdering of nummerwijziging: om te voorkomen dat de Premium-proefperiode herhaaldelijk kan worden verkregen door het account te verwijderen en zich opnieuw te registreren, slaat de server bij verwijdering van het account van een ouder die lid was van het gezin tijdens diens proefperiode, en bij wijziging van het nummer van een dergelijke ouder (ook wanneer de ondersteuning het nummer op diens verzoek wijzigt) alleen de vingerafdruk van het voorgaande telefoonnummer op (HMAC met een geheime sleutel) en het tijdstip – niet het telefoonnummer zelf. Een nieuwe registratie met hetzelfde nummer krijgt de proefperiode dan niet. De server verwijdert de vingerafdruk na 12 maanden.
E-mails die je ons stuurt: gedurende de tijd die nodig is om je vraag of verzoek af te handelen en om aan te tonen hoe we deze hebben afgehandeld.
Registratie van ingrepen door de ondersteuning en beheer: de registratie van de ingreep in de database (soort ingreep, wie deze heeft uitgevoerd, wanneer, welk gezin het betreft en verzoeknummer – zonder namen en telefoonnummers; zo registreren we het herstel van een nummer en het uitloggen van apparaten door de ondersteuning, de export van gezinsgegevens op verzoek en het beheer van promocodes en gratis toegang) verwijdert de server na 3 jaar zelf. Het logboek van ondersteuningsverzoeken (verzoeknummer, datum, interne identificator van het account, methode van identiteitsverificatie en resultaat – zonder telefoonnummer) houden we versleuteld buiten de database bij en bewaren we ook 3 jaar als bewijs van hoe we het verzoek hebben afgehandeld.

Operationele en beveiligingslogs in productie van de hosting mogen maximaal 30 dagen worden bewaard. Technische foutmeldingen van de app en de server bewaart Sentry maximaal 90 dagen, zodat we fouten kunnen opsporen en oplossen die zich pas na het uitbrengen van een nieuwe versie van de app voordoen; eventuele operationele back-ups van Sentry vervallen uiterlijk 90 dagen na de aanmaak ervan. Databaseback-ups worden dagelijks gemaakt, nog voor verzending vanuit de productieomgeving versleuteld en 30 dagen na het maken verwijderd, zodat eerder verwijderde gegevens er maximaal 30 dagen in blijven; ze worden niet gebruikt voor het gewone herstel van een verwijderd account. Als we de database uit een back-up zouden moeten herstellen, zullen we verwijderingen die na het maken van de back-up zijn uitgevoerd volgens het logboek van verwijderingen opnieuw toepassen. De instellingen van de hosting, de database en de opslag moeten deze termijnen technisch afdwingen en de exploitant controleert ze regelmatig.

Als het verwijderen van het record bij de externe abonnementsaanbieder niet meteen kan worden voltooid, Kimda anonimiseert na het verwijderen van de media zonder verder uitstel de lokale persoonsgegevens. Om het externe verzoek veilig te kunnen herhalen, bewaart Kimda alleen een interne willekeurige identificatie van het gezin en de technische status van de verwijdering, geen namen of telefoonnummers. Het record van deze taak voor externe verwijdering (interne identificator van het gezin, aanduiding van de aanbieder, aantal pogingen, tijdstippen en de foutcode van de laatste fout, zonder namen en telefoonnummers) verwijdert de server 90 dagen na de voltooiing ervan; een onvoltooide taak wordt bewaard totdat deze is voltooid.

We bewaren het bewijs van toestemming voor de onmiddellijke start van Premium (interne identificatoren van het gezin en de gebruiker, tijdstip van toestemming, gekozen plan, begin van de betaalde periode, transactie-identificatie van de winkel, interne identificatie van de aankooppoging en de versie van de weergegeven tekst) gedurende de periode die nodig is om deze toestemming te bewijzen in een eventueel geschil, standaard 3 jaar na het verlenen ervan. Na afloop van deze termijn wordt het bewijs gecontroleerd verwijderd. Het bewijs wordt niet verwijderd samen met het account of het gezin (punt 7). Een kopie hiervan (zonder de interne identificatie van de aankooppoging) slaan we ook op in de afzonderlijke niet-openbare opslag Cloudflare R2 (punt 4), zodat het bewijs het verlies van de database tussen back-ups overleeft; de opslag verwijdert deze zelf na 1125 dagen na de opslag ervan.

7. Jouw rechten

Je hebt het recht:

op inzage in alle gegevens die de app over jou en je gezin bewaart (Art. 15 AVG),
op correctie van onjuiste gegevens (Art. 16 AVG) – je telefoonnummer wijzig je zelf in het Profiel na verificatie van het nieuwe nummer met een sms-code; als je de toegang tot je account verliest (bijvoorbeeld doordat iemand anders het nummer heeft gewijzigd vanaf een ingelogd apparaat), wijzigen we het op je verzoek na verificatie van je identiteit,
op verwijdering van het account van een individueel lid (Art. 17 AVG) - de app verwijdert of anonimiseert rechtstreeks in de app (Profiel → Account verwijderen) onomkeerbaar naam, telefoonnummer, foto en pushtoken en verwijdert alle foto's die je hebt geüpload; bij het account van een kind ook de foto's bij zijn klusjes die de ouder namens hem heeft geüpload. Met dit account kan dan niet meer worden ingelogd en er blijft geen naam of contactgegeven bij achter. Van de geschiedenis van klusjes en betalingen blijven alleen de administratieve feiten over die nodig zijn voor de samenhang bij de rest van het gezin (punten, bedrag, status en tijdstip); de vrije notitie wordt verwijderd en de namen van klusjes en doelen worden vervangen door een neutrale waarde. Deze geschiedenis wordt niet verwijderd, omdat ze gekoppeld blijft aan de rest van het gezin (anders zou hun onderlinge administratie niet meer kloppen), maar is alleen gekoppeld aan een record zonder naam en contactgegevens. Registraties van directe uitbetalingen en handmatige aflossingen van het kind (punt 2) worden samen met het kind verwijderd. Registraties uit het journaal van telefoonwijzigingen en lidstatus (punt 2) verwijdert de server uit de database; de kopie ervan in de afzonderlijke opslag vervalt uiterlijk 60 dagen na opslag. Als een kind een schuld, saldo of openstaande aanvragen heeft, toont de app het voor de verwijdering welke bedragen het kwijtraakt, en moet het de verwijdering uitdrukkelijk bevestigen; de ouders krijgen dan een algemene melding. Een lid dat door de ouder uit het gezin is verwijderd, kan na verificatie met een sms-code in de app zelf zijn account permanent verwijderen en daarmee zijn telefoonnummer vrijgeven,
op trapsgewijze verwijdering van het hele gezin - wanneer een ouder uitdrukkelijk bevestigt dat het hele gezin moet worden verwijderd, anonimiseren we alle gezinsleden, verwijderen we hun foto's en vervangen we bovendien vrije teksten en namen van eigen klusjes, doelen en beloningen door neutrale waarden; we verwijderen ook de registraties van directe uitbetalingen en handmatige aflossingen van het gezin (punt 2), de geschiedenis van wijzigingen van financiële regels van het gezin (bij de eerstvolgende opschoning) en de registraties uit het journaal van telefoonwijzigingen en lidstatus van de leden ervan (de kopie van het journaal in de afzonderlijke opslag vervalt uiterlijk 60 dagen na opslag). Het verwijderen van een andere ouder vereist toestemming van de betrokken ouder: een uitdrukkelijke weigering stopt de actie, zonder reactie wordt deze na 14 dagen uitgevoerd. Het verwijderen van het hele gezin waarin zich nog een ouder bevindt, vereist de uitdrukkelijke toestemming van elke andere ouder; zonder de toestemming van allen wordt het verzoek na 14 dagen geannuleerd en wordt het gezin niet verwijderd. Een gezin waaruit in de afgelopen 14 dagen een andere ouder is verwijderd, kan op zijn vroegst 14 dagen na diens verwijdering worden verwijderd. Boekhoudkundige registraties van een verwijderd gezin, inclusief de saldi en de statussen van leningen en spaargelden van de kinderen, worden uiterlijk binnen 30 dagen na de verwijdering uit de operationele database verwijderd; in de versleutelde back-ups kunnen ze nog maximaal 30 dagen blijven staan totdat de back-up wordt verwijderd. Het bewijs van toestemming voor de onmiddellijke start van Premium wordt bij de verwijdering van het gezin niet verwijderd (punt 6). Geanonimiseerde registraties van het inwisselen van partnercodes, die geen persoonsgegevens bevatten, worden bewaard voor de administratie van partners en ter bescherming tegen misbruik. Na het verwijderen van de media vindt de lokale anonimisering ook plaats wanneer RevenueCat tijdelijk niet beschikbaar is; het externe verzoek wordt daarna veilig herhaald met alleen de interne identificatie van het gezin. RevenueCat voert de verwijdering asynchroon uit. Hiermee wordt een abonnement via de App Store of Google Play niet opgezegd - dat moet de ouder apart opzeggen in de instellingen van de betreffende store,
op beperking van de verwerking (Art. 18 AVG), bijvoorbeeld wanneer je de juistheid van de gegevens betwist, gedurende de tijd dat we deze verifiëren,
op overdraagbaarheid (Art. 20 AVG) - de gegevens die je ons hebt verstrekt en die we verwerken op basis van een overeenkomst, zullen we je verstrekken in een gestructureerd, veelgebruikt en machineleesbaar formaat (bijv. JSON), of we zullen ze op jouw verzoek overdragen aan een andere verwerkingsverantwoordelijke, indien dit technisch haalbaar is,
om bezwaar te maken (Art. 21 AVG) tegen verwerking op basis van ons gerechtvaardigd belang (punt 2); we zullen de verwerking dan staken, tenzij we dwingende gerechtvaardigde gronden aantonen die zwaarder wegen dan jouw belangen, rechten en vrijheden, of we deze nodig hebben voor de instelling, uitoefening of onderbouwing van een rechtsvordering,
om op elk moment je toestemming in te trekken (Art. 7(3) AVG) - toestemming voor het meten van advertenties op de website trek je in via de link "Cookie-instellingen" in de voettekst van de website (punt 9); de intrekking heeft geen invloed op de verwerking die daaraan voorafging,
om een klacht in te dienen bij een toezichthoudende autoriteit (Art. 77 AVG) - in Tsjechië is dit de Autoriteit Persoonsgegevens (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, website uoou.gov.cz; je kunt je ook wenden tot de toezichthoudende autoriteit in de EU-lidstaat waar je woont of werkt.

Stuur je verzoek naar privacy@kimda.app. Om te voorkomen dat we gegevens doorgeven of verwijderen voor iemand anders, verifiëren we eerst dat het verzoek wordt ingediend door de accounteigenaar (bijvoorbeeld door bevestiging vanaf het telefoonnummer dat aan het account is gekoppeld); stuur ons nooit codes uit inlog-sms'jes. De enige uitzondering is de code uit de sms met de vermelding “Kimda obnova účtu”, waar de support je alleen om zal vragen in reactie op je eigen verzoek om teruggave van een overgenomen account, of op je eigen bevestiging van een dergelijk verzoek van een andere ouder uit je gezin (punt 2); geef deze ook dan alleen door aan de support, nooit aan een ander gezinslid. De support vraagt uitsluitend om deze code per e-mail vanaf het adres support@kimda.app met je verzoeknummer, nooit telefonisch of via een ander gezinslid. Een verzoek om inzage of overdraagbaarheid handelen we af door een export van de gezinsgegevens in JSON-formaat (zonder inlogtokens en de vingerafdrukken ervan en zonder de vingerafdrukken van de oorspronkelijke telefoonnummers uit de beveiligingsregistraties, die alleen dienen om een verzoek om teruggave van een account te verifiëren, en zonder het journaal van telefoonwijzigingen en lidstatus, dat alleen dient ter bescherming tegen overname van een nummer; de export bevat de registraties van directe uitbetalingen en handmatige aflossingen (punt 2); bij foto's bevat het de technische vingerafdruk ervan volgens punt 3, de foto's zelf verstrekken we op verzoek apart); elke export registreren we (wie deze heeft voorbereid, wanneer en op basis van welk verzoek). Gegevens over gebeurtenissen uit het journaal van telefoonwijzigingen en lidstatus (type en tijdstip, zonder vingerafdrukken) delen we u op verzoek mee. We antwoorden zonder onnodige vertraging, uiterlijk binnen een maand; in complexere gevallen kunnen we de termijn met nog eens twee maanden verlengen, waarover we je tijdig zullen informeren. De rechten van het kind kunnen namens het kind door de ouder als wettelijke vertegenwoordiger worden uitgeoefend.

8. Beveiliging

De app gebruikt geen wachtwoorden (inloggen alleen via een geverifieerd telefoonnummer). De toegang wordt beschermd door een kortdurend inlogtoken met een geldigheid van 15 minuten en een vernieuwingstoken, dat de server alleen als vingerafdruk opslaat; bij bewezen herhaald gebruik van een reeds vervangen vernieuwingstoken logt de server het account uit op alle apparaten, annuleert hij de registraties ervan voor meldingen, schrijft hij een beveiligingsregistratie en waarschuwt hij de andere ouders. In productie verloopt de communicatie tussen de app en de server via HTTPS. Foto's staan in een niet-openbare opslag en de backend controleert vóór het vrijgeven ervan het account en het lidmaatschap van hetzelfde gezin. Databaseback-ups worden nog voor de overdracht versleuteld en kunnen alleen worden ontsleuteld met een privésleutel die buiten de cloud is opgeslagen; promocodes staan in de database alleen als HMAC-vingerafdruk met een sleutel buiten de database en we registreren het beheer van promocodes. Telefoonnummers, tokens of de inhoud van verzoeken schrijft de server niet in de operationele logs.

9. Website kimda.app en cookies

Dit punt geldt alleen voor bezoekers van de website kimda.app, niet voor het gebruik van de app. De website draait op het netwerk van Cloudflare, dat bij elk bezoek technisch het IP-adres en gegevens over de browser verwerkt om de pagina te kunnen leveren en te beschermen tegen aanvallen; registraties voor de diagnostiek van websitefouten bewaart Cloudflare maximaal 3 dagen. Op basis van de taal van de browser (bij de downloadlink ook op basis van het type apparaat) stuurt de website je door naar de geschikte versie van de pagina. De rechtsgrond is ons gerechtvaardigd belang bij een veilige en functionele website (Art. 6(1)(f) AVG). Het gekozen thema onthoudt de website alleen in je browser (localStorage). De beslissing over cookies slaat de website op in localStorage en in de noodzakelijke technische cookie kimda-consent-proof (geldigheid 180 dagen), die alleen het type keuze en het tijdstip van de beslissing bevat, zonder identificatie van een persoon of account. De browser stuurt deze technisch gezien met elk verzoek aan de website mee; de server beoordeelt hem niet, hij dient alleen voor het script in de browser om te verifiëren dat de toestemming niet is ingetrokken. Deze cookie vereist geen toestemming en wordt niet gebruikt voor metingen of reclame.

Alleen als je in de balk op de website "Akkoord" kiest, laadt de website de Meta Pixel van Meta Platforms Ireland Limited. Die plaatst een cookie in de browser (bijv. _fbp met een geldigheid tot 90 dagen) en stuurt gegevens over het bezoek naar Meta: de bezochte pagina, het IP-adres, gegevens over de browser en de cookie-identificatie. Dit dient ons om de effectiviteit van advertenties op Facebook en Instagram te meten. De rechtsgrond is je toestemming (Art. 6(1)(a) AVG en § 89(3) van Wet nr. 127/2005 Coll., inzake elektronische communicatie). Voor het verzamelen en doorgeven van deze gegevens zijn wij samen met Meta verantwoordelijk; de verdere verwerking ervan, inclusief een eventuele doorgifte naar de VS op basis van het EU-USA-kader voor gegevensbescherming (Data Privacy Framework), voert Meta uit als zelfstandige verwerkingsverantwoordelijke volgens haar beleid op facebook.com/privacy/policy. Gegevens uit de app, het account of het gezin sturen we nooit naar Meta.

Zonder toestemming wordt de Meta Pixel helemaal niet geladen. Je kunt je toestemming op elk moment intrekken via de link "Cookie-instellingen" in de voettekst van de website; de website verwijdert dan de cookies van de Pixel en laadt de Pixel niet meer.

Als je je via de pagina voor testers toevoegt aan de groep testers in Google Groups, ziet de beheerder van de groep het e-mailadres van je Google-account; we gebruiken dit alleen voor het testen van de app en voor toegang tot de testversie in Google Play. De testversie voor iPhone wordt door Apple gedistribueerd via TestFlight. Google en Apple verwerken daarbij gegevens als zelfstandige verwerkingsverantwoordelijken volgens hun eigen beleid. De rechtsgrond is je verzoek om deel te nemen aan het testen (Art. 6(1)(b) AVG). Het e-mailadres blijft in de groep totdat je je afmeldt of totdat het testen eindigt.

10. Wijzigingen in dit beleid

Over elke wezenlijke wijziging van dit beleid informeren we je in de app en op de website kimda.app. De app herkent met welke versie van het beleid je akkoord bent gegaan: ouders zal deze vragen om de nieuwe versie te bevestigen (en eventueel om toestemming namens de kinderen), een kind neemt er kennis van. Het tijdstip en de versie van de bevestiging registreren we.

11. Contact

Vragen over de bescherming van persoonsgegevens: privacy@kimda.app