Privacyverklaring

Wie we zijn

Whiff is een app waarmee je wijn leert proeven. Mees van Lier maakt hem, in Nederland. Er staat nog geen bedrijf achter de app, dus ik ben als maker zelf verantwoordelijk voor wat er met je gegevens gebeurt.

Vragen over je privacy kun je mailen naar hallo@whiffapp.com. Je krijgt binnen een maand antwoord.

Wat de app bewaart

Alles wat de app over jou vastlegt, staat hieronder. Bij elk stuk staat waarom, en op welke grond de wet dat toestaat.

Je account

Bij je eerste sessie maakt de app een anoniem account aan: een willekeurig nummer, zonder naam, e-mailadres of telefoonnummer. Daaraan hangen je proefsessies en, als je Pro neemt, je abonnement. Grond: dit is nodig om de app te laten werken (uitvoering van de overeenkomst).

Je proefsessies en notities

Wat je bij een fles invult: je antwoorden, hoe zeker je was, je scores en hoe die zich ontwikkelen. En wat je zelf over een wijn opschrijft. Dat staat op je toestel en, onder het nummer van je account, in onze database. Zonder die geschiedenis valt er niets te leren of terug te kijken. Grond: uitvoering van de overeenkomst.

Wat je scant

Scan je de streepjescode van een fles, dan bewaren we die code, of de app de fles kende en welke weg hij nam om hem te vinden. Zo zien we welke flessen nog ontbreken. Grond: uitvoering van de overeenkomst.

Je smaakprofiel

Uit je antwoorden rekent de app op je toestel uit wat je lekker vindt. De wet noemt dat profilering, vandaar. Het profiel is er alleen om jou betere sessies en uitleg te geven. Er wordt niets over je besloten met juridische of andere grote gevolgen.

Pro

Neem je Whiff Pro, dan regelt Apple de betaling. Wij krijgen van Apple een nummer voor je aankoop, welk abonnement het is en tot wanneer het loopt. Je naam en je betaalgegevens zien we niet. Grond: uitvoering van de overeenkomst.

Een gratis proefmaand geven we één keer per toestel. Om dat te controleren vraagt de app bij een aankoop een code op bij DeviceCheck van Apple. Die code zegt alleen of dit toestel de proef al kreeg, niet wie je bent. Grond: gerechtvaardigd belang, namelijk misbruik van de proefmaand voorkomen.

Een melding over een fles

Klopt er iets niet aan een fles en meld je dat, dan bewaren we je melding en wat je erbij schreef. Grond: gerechtvaardigd belang, namelijk een catalogus die klopt.

Groepscijfers

De app kan laten zien hoe andere proevers dezelfde wijn ervoeren, bijvoorbeeld hoeveel procent ook citrus rook. Daarvoor tellen we antwoorden op tot cijfers waarin niemand meer te herkennen is. Grond: gerechtvaardigd belang. Of je antwoorden ooit meetellen in cijfers die we met wijnmakers, importeurs, winkels of onderzoekers delen, vragen we je eerst apart.

Waar een AI meeleest

Twee onderdelen van de app gebruiken een AI-model. Allebei alleen als jij erom vraagt, en zonder je naam of e-mailadres.

Malo

Malo is de gids in de app. Stel je Malo een vraag, dan gaat die vraag naar Google Cloud in de EU. Daar draaien het AI-model Claude van Anthropic en een zoekmodel van Google. Om je goed te antwoorden, krijgt Malo ook mee wat hij over jouw proeven moet weten, zoals je sessies en notities. Volgens de voorwaarden van Google Cloud worden zulke gegevens niet gebruikt om AI-modellen te trainen.

De tekst van een gesprek verdwijnt na 30 dagen. Wat blijft, is een samenvatting van twee zinnen, zodat Malo weet waar jullie het eerder over hadden. Die gaat weg met je account. Grond: uitvoering van de overeenkomst. Een antwoord van Malo kan fout zijn; daarom staat bij elk antwoord dat het van een AI komt.

Een etiket laten lezen

Kent de app een fles niet, dan kun je het etiket fotograferen. Die foto gaat naar Anthropic in de Verenigde Staten, waar een AI-model het etiket leest. Dat gebeurt pas nadat je op het scherm ervoor hebt gezien dat de foto naar Anthropic gaat, en daarop tikt. Grond: je toestemming.

De app haalt vóór het versturen alles uit de foto wat er niet in hoeft, zoals de plek waar je hem nam. De volle foto bewaren we 30 dagen bij je aanvraag, zodat we de fles aan de catalogus kunnen toevoegen. Daarna gaat hij vanzelf weg. Voor het versturen naar de Verenigde Staten gelden de standaardcontractbepalingen van de Europese Commissie, die in de voorwaarden van Anthropic staan. Volgens die voorwaarden gebruikt Anthropic zulke foto’s niet om modellen te trainen.

De verzameling etiketten

Van de foto snijdt de app alleen het etiket uit. Bevestig je dat het de goede fles is, dan gaat die uitsnede in onze verzameling etiketten, los van je account. Er staat dan alleen bij welke fles en welk jaar het is. Met die verzameling leert de app later etiketten op beeld herkennen. Grond: gerechtvaardigd belang, namelijk een herkenning die beter wordt.

Omdat er daarna niets meer bij staat dat naar jou wijst, kunnen we een uitsnede achteraf niet meer als de jouwe terugvinden. Een foto of uitsnede tonen we nooit aan andere gebruikers.

Wat de app laat werken

Foutmeldingen

Loopt de app vast of gaat er iets mis, dan gaat er een foutmelding naar Sentry, met opslag in de EU. Daarin staat wat er misging, op welk scherm, met welk toestel en welke versie van iOS, en hoe snel de app was. Geen naam, geen e-mailadres, geen schermafdruk en niets wat je typte. Hoogstens het anonieme nummer van je account, zodat we twee meldingen van hetzelfde account herkennen. Grond: gerechtvaardigd belang, namelijk een app die werkt.

Bescherming tegen misbruik

Om de server te beschermen tellen we hoeveel verzoeken er binnenkomen, per account en per internetadres. Het internetadres zelf bewaren we niet, alleen een versleutelde vorm die niet terug te rekenen is, en die tellers verdwijnen na een dag. We tellen ook hoeveel je de AI gebruikt, zodat niemand de kosten kan laten oplopen. Grond: gerechtvaardigd belang.

Het kasboek

Wat er in het beheer van de app gebeurt, door mij of door een geplande taak, komt in een kasboek: wie, wat, wanneer en waarom. Denk aan een fles goedkeuren of een account opruimen. Daarin staat geen naam, geen e-mailadres en niets wat je zelf schreef, hoogstens het nummer van een account. Zo kan ik altijd laten zien wat er met je account gebeurde. Dit kasboek bewaren we 24 maanden. Grond: gerechtvaardigd belang.

Wat we niet doen

Er staan geen advertenties in de app. We verkopen geen gegevens en we volgen je niet in andere apps of op websites.

De app legt niet vast hoe vaak of hoeveel je drinkt. Hij telt sessies en hoe goed je proeft, geen glazen.

Bij een fles kan staan in welke winkels hij te koop is. Tik je erop, dan opent de site van die winkel. In de link staat alleen dat je via Whiff komt, niets over jou.

Wie ons helpt

Deze diensten doen een deel van het werk voor Whiff. Ze werken in onze opdracht en gebruiken je gegevens niet voor zichzelf.

• Supabase: de database en de opslag, in Frankfurt (EU).
• Google Cloud: Malo en het zoeken in zijn kennis, in de EU.
• Anthropic: het lezen van een etiketfoto, in de Verenigde Staten.
• Sentry: foutmeldingen, met opslag in Frankfurt (EU).
• GitHub: een reservekopie van de database, in de Verenigde Staten. Die is versleuteld met een sleutel die alleen ik heb, dus GitHub kan hem niet openen.

Apple regelt de betaling voor Pro en de code van DeviceCheck. Dat doet Apple onder zijn eigen privacybeleid, als zelfstandige partij.

Hoe lang we iets bewaren

Zolang je account bestaat. Gebruik je de app 24 maanden niet, dan ruimen we je account op. Een account waar nooit een sessie in kwam, kan eerder weg; daar verlies je niets mee.

Verwijder je je account, dan wissen we meteen alles wat erbij hoort: je sessies, notities, scans en je profiel. Een etiketfoto die je liet lezen, is binnen een dag weg. Je abonnement bij Apple loopt door tot je het bij Apple opzegt.

Een paar dingen blijven, zonder dat ze nog naar jou wijzen:

• de registratie van een aankoop bij Apple, zodat je hem later kunt herstellen;
• een bevestigde uitsnede van een etiket, in de verzameling, zonder account;
• een melding over een fles, zonder afzender;
• de telling van AI-gebruik, zonder account;
• het bewijs dat je ooit toestemming gaf. Dat moeten we kunnen tonen, dus dat bewaren we vijf jaar, alleen als versleutelde code.

Foutmeldingen bij Sentry en de logboeken van de server zijn na hoogstens 90 dagen weg. Elke week maken we een versleutelde reservekopie van de database, die na 90 dagen verdwijnt. Je verwijderde account kan dus nog even in zo’n kopie staan. Die openen we alleen na een ramp.

Je rechten

Je mag je gegevens inzien, laten verbeteren, laten wissen en meenemen naar een andere dienst. Je mag de verwerking laten beperken en bezwaar maken tegen alles wat op gerechtvaardigd belang rust. Een toestemming kun je altijd intrekken, even makkelijk als je hem gaf.

Het meeste kan in de app zelf, onder Profiel en dan Instellingen: daar download je alles van jezelf en verwijder je je account. Voor de rest mail je hallo@whiffapp.com.

Ben je niet tevreden over hoe ik met je gegevens omga, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Leeftijd

Whiff gaat over wijn en is voor volwassenen: 18 jaar of ouder. In de App Store staat de app op 18+.

Als deze verklaring verandert

Verandert er iets wezenlijks, dan zie je dat in de app voordat het geldt. Bovenaan staat altijd welke versie dit is en wanneer hij voor het laatst is bijgewerkt.

Deze website

Op whiffapp.com staan geen cookies en geen trackers. De site staat bij Cloudflare, dat je internetadres ziet om je de pagina te kunnen sturen.