Privacybeleid

Laatst bijgewerkt en van kracht vanaf: 2 november 2026

In dit Privacybeleid leggen we uit welke persoonsgegevens Carbetic (“Carbetic”, “wij”, “ons”) verwerkt, waarom we dat doen en welke rechten je hebt. Het geldt voor de mobiele app Carbetic op iOS en Android, voor de app “T1D Babysitting by Carbetic” op iOS en Android, en voor de website carbetic.app (zie punt 14). T1D Babysitting, het netwerk voor gezinnen met kinderen met type 1 diabetes en babysitters, wordt beschreven in punt 5.

Wie verantwoordelijk is (verwerkingsverantwoordelijke): Diego Szekely, eenmanszaak (Carbetic), Hochbergstraße 4, 2380 Perchtoldsdorf, Oostenrijk
Contact: diego@carbetic.app · Colofon

We hoeven geen functionaris voor gegevensbescherming aan te wijzen. Vragen komen dus rechtstreeks binnen op het adres hierboven. Voor veiligheidsvragen en meldingen in T1D Babysitting schrijf je naar safety@carbetic.app. Autoriteiten bereiken ons via legal@carbetic.app (punt 17).

Dit beleid is ook beschikbaar in: English · Deutsch · Français · Español · Italiano · Português · Polski.

1. De gegevens die we verwerken

1.1 Gegevens die je ons geeft

• Maaltijdinvoer: de foto’s die je maakt of uploadt, en elke receptlink, tekstbeschrijving of elk spraakbericht dat je voor analyse indient.
• Je aandoening (optioneel): tijdens de installatie kun je ons vertellen of je type 1 diabetes, type 2 diabetes, obesitas (adipositas) of geen van deze hebt, of dat je het liever niet zegt. Dit zijn gezondheidsgerelateerde gegevens (zie punt 1.3).
• Status als zorgverlener (optioneel): of je Carbetic persoonlijk gebruikt of als zorgverlener.
• Gegevens voor toegang en samenwerking (optioneel): als je een partner-, arts- of samenwerkingscode inwisselt, kunnen we de naam, het e-mailadres en (bij sommige codes) de kliniek en het land bewaren die je invult om die toegang te geven.
• Gegevens voor klinisch onderzoek (optioneel): als je meedoet aan een onderzoeksgroep of vraagt om de onderzoeksresultaten te ontvangen, bewaren we je proefpersoon-ID en/of e-mailadres en een vastlegging dat je toestemming hebt gegeven, met datum en tijd.
• T1D Babysitting (optioneel): als je het netwerk gebruikt, wat je daar invoert, zoals je profiel, je adres en je berichten. In punt 5 staat alles op een rij.

1.2 Gegevens die ontstaan als je Carbetic gebruikt

• Een anoniem account-ID: bij de eerste start maakt de app een anonieme code voor jouw installatie. Dat is niet je naam, je e-mailadres of een advertentie-ID van je apparaat, en we gebruiken het niet om jou persoonlijk te identificeren. Als je in T1D Babysitting wilt publiceren, berichten wilt schrijven of een review wilt schrijven, koppel je dit ID aan inloggen met Apple, Google of je e-mailadres (punt 5.4). Anders blijft het anoniem.
• App- en apparaatgegevens: appversie, type apparaat en besturingssysteem, taal, je IP-adres en een globale locatie die daaruit wordt afgeleid (zie punt 1.4).
• Gebruik en diagnostiek: gebeurtenissen in de app (bijvoorbeeld welke stappen van de installatie je afrondt), crashrapporten en prestatiegegevens.
• Abonnementsstatus: je abonnement (Free, Standard, Unlimited), de status van je rechten en de aankoopgegevens die onze server bij Apple en Google controleert (punt 1.5). Betalingen zelf worden afgehandeld door je appstore. Je volledige kaartgegevens krijgen wij niet.
• Gegevens voor marketingattributie: als je Carbetic via een advertentie hebt geïnstalleerd, beperkte meetgegevens waaruit blijkt dat de advertentie werkte (zie punt 13.2).
• Linkgegevens (Android): als je Carbetic via een van onze eigen links hebt geïnstalleerd, om welke link het ging, en de status en het soort abonnement van abonnementen die je daarna start (zie punt 13.1).
• Pushtoken (optioneel): als je meldingen toestaat. Wanneer de app zich voor meldingen registreert, stuurt ze ook de taal van de app, je tijdzone en het land dat op je telefoon is ingesteld mee (punt 1.4).

1.3 Gezondheidsgerelateerde gegevens (bijzondere categorie)

De aandoening die je tijdens de installatie optioneel kunt opgeven (type 1- of type 2-diabetes of obesitas) is een gegeven van een bijzondere categorie (gezondheidsgegevens) volgens de AVG. We verwerken ze alleen met je uitdrukkelijke toestemming, bewaren ze apart en koppelen ze niet aan je maaltijdfoto’s of aan iets wat je deelt via “Help Carbetic verbeteren”.

De maaltijdscans en foto’s die je optioneel kunt delen om Carbetic te verbeteren, worden bewaard zonder je aandoening en zonder enige identificatiecode. Het zijn afbeeldingen van eten, geen gegevens over je gezondheid. We gebruiken dit nooit voor reclame.

T1D Babysitting heeft eigen regels voor gezondheidsinformatie: dat een babysitter zelf type 1 diabetes heeft en dat een kind type 1 diabetes heeft, tonen we alleen met uitdrukkelijke toestemming (punt 5.7). Je antwoord over je aandoening gebruiken we niet in het netwerk en we tonen het nooit aan iemand.

1.4 Globale locatie

Als je Carbetic gebruikt, leiden we een globale locatie, zoals je land of regio, af van het IP-adres van je apparaat. We gebruiken die alleen om voedingsgegevens voor jouw land te kiezen voor je maaltijdschattingen, omdat de menu’s en recepten van restaurant- en fastfoodketens per land verschillen.

• Carbetic gebruikt hiervoor geen gps en niet de locatievoorzieningen van je apparaat, en bepaalt je precieze locatie niet.
• We gebruiken deze locatie niet voor reclame en bouwen geen locatiegeschiedenis op.
• Grondslag: uitvoering van onze overeenkomst met jou (art. 6(1)(b) AVG) en ons gerechtvaardigd belang bij nauwkeurige schattingen (art. 6(1)(f) AVG).
• T1D Babysitting gebruikt de locatie van je apparaat alleen als je “Huidige locatie” kiest als zoekgebied en dat toestaat, alleen terwijl je de app gebruikt en alleen met een globale nauwkeurigheid. Je telefoon rondt de positie af op het midden van een vierkant van ongeveer 5 km en alleen dat afgeronde punt wordt naar onze server gestuurd. Het wordt alleen voor die zoekopdracht gebruikt en wordt nooit bewaard, ook niet in het veiligheidslogboek (punt 5.10). Grondslag: uitvoering van onze overeenkomst met jou (art. 6(1)(b) AVG). Je profiel gebruikt altijd het adres dat je typt en laat anderen alleen een globaal gebied zien (punt 5.9).
• Het land dat op je telefoon is ingesteld: wanneer een van beide apps je apparaat voor meldingen registreert, stuurt ze ook een landcode mee, zoals “AT”: op een iPhone de regio uit de instellingen van je telefoon, op Android het land van je mobiele netwerk of simkaart, en anders de regio uit de instellingen van je telefoon. Niets nauwkeurigers. We gebruiken die code om sommige meldingen alleen te sturen naar de landen waarvoor ze bedoeld zijn, bijvoorbeeld het bericht dat T1D Babysitting in jouw land van start is gegaan. Een nieuwe waarde vervangt de oude. Grondslag: ons gerechtvaardigd belang bij het sturen van meldingen alleen waar ze van toepassing zijn (art. 6(1)(f) AVG).

1.5 Abonnementen en aankoopcontroles

Een Carbetic-abonnement dat je in de Carbetic-app hebt gekocht, op iPhone of op Android, ontgrendelt de koolhydratenteller voor je account. Om dit te laten werken, en zodat je niet twee keer betaalt, controleert onze server aankopen bij Apple en Google. De app “T1D Babysitting by Carbetic” heeft geen koolhydratenteller en verkoopt geen abonnementen.

• Wat de app stuurt: na een aankoop of een herstelactie, en af en toe daarbuiten, stuurt de Carbetic-app onze server de ondertekende aankoopinformatie van de App Store (iPhone) of de aankoopreferentie van Google Play (Android), samen met je anonieme account-ID. De huidige versies van de Carbetic-app doen dit voor elk abonnement, ook als je T1D Babysitting nooit gebruikt.
• Wat onze server vraagt: hij controleert de aankoop bij Apple (App Store Server API) of Google (Google Play Developer API). Apple en Google laten onze server ook weten wanneer er verlengingen, opzeggingen, terugbetalingen en verlopen zijn.
• Wat we bewaren: de winkel en de app, het product, het abonnement en de periode, transactie-ID’s, begin, einde en verlengingsstatus, of het abonnement via Delen met gezin wordt gedeeld, of het een testaankoop was, en bij welk account de aankoop hoort. Als je koopt, geeft de app de winkel een code die is afgeleid van je account-ID, zodat de aankoop aan je account kan worden gekoppeld. Deze code is niet je naam of e-mailadres.
• Waarvoor we het gebruiken: om je abonnement te ontgrendelen en om te voorkomen dat één aankoop door meerdere mensen wordt gebruikt.
• Grondslag: uitvoering van onze overeenkomst met jou (art. 6(1)(b) AVG).
• Hoelang: zolang het abonnement actief is, en tot 400 dagen nadat het is beëindigd, om terugbetalingen en geschillen af te handelen.

Betalingen lopen nog steeds alleen via Apple of Google (of via Stripe op de website, punt 14.4). Je kaartgegevens krijgen wij nooit.

1.6 Apple Health en Health Connect (optioneel, alleen de Carbetic-app)

De Carbetic-app kan de maaltijden die je opslaat toevoegen aan Apple Health (iPhone) of Health Connect (Android). Dat doet de app alleen als je “Apple Health” of “Health Connect” aanzet in de instellingen van de app en dit toestaat op het toestemmingsscherm van je telefoon. Tot die tijd staat het uit. Deze optie is niet in elke versie van de app beschikbaar.

• Wat er wordt toegevoegd: de geschatte koolhydraten van elke maaltijd en, indien beschikbaar, de calorieën, eiwitten, vetten, vezels en suikers, plus alle extra voedingsstoffen die je bij Geavanceerde analyse had aangezet toen de maaltijd werd geanalyseerd (zoals natrium of ijzer). Elke invoer bevat ook het tijdstip waarop je de maaltijd hebt opgeslagen, de naam ervan als die er is, en een verwijzing naar de maaltijd in Carbetic. Nooit je maaltijdnotities of foto’s.
• Welke maaltijden: de maaltijden die in je Analyse meetellen. Maaltijden die je buiten je Analyse houdt, worden niet toegevoegd, en recepten pas als je de portie invult die je hebt gegeten. Maaltijden die je hebt opgeslagen voordat je dit aanzette, worden alleen toegevoegd als je ja zegt wanneer de app erom vraagt.
• Wijzigingen en verwijderingen: zolang het aan staat, wordt een maaltijd die je in Carbetic bewerkt daar ook bijgewerkt, en een maaltijd die je in Carbetic verwijdert (een voor een, allemaal tegelijk of met “Mijn gegevens verwijderen”) of buiten je Analyse houdt, wordt daar verwijderd.
• Alleen toevoegen, nooit lezen: Carbetic vraagt alleen toestemming om voedingsgegevens toe te voegen. De app leest nooit iets uit Apple Health of Health Connect, ook geen gegevens van andere apps. Om haar eigen invoer bij te werken of te verwijderen, gebruikt ze een lijst van wat ze heeft toegevoegd, die in de app op je telefoon wordt bewaard.
• Waar het wordt opgeslagen: de app schrijft de gegevens rechtstreeks in Apple Health of Health Connect op je telefoon. Deze functie stuurt niets via internet en niets naar onze servers. Vanaf dat moment houdt Apple Health of Health Connect de gegevens onder jouw controle, inclusief elke back-up of synchronisatie die je daar hebt ingesteld.
• Geen reclame, geen verkoop, geen delen: we gebruiken deze gegevens nooit voor reclame, marketing of profilering, verkopen ze nooit, delen ze met niemand en gebruiken ze nooit om AI te trainen. Onze app-analyse kan vastleggen hoe je deze instelling gebruikt, bijvoorbeeld dat je hem hebt aan- of uitgezet, maar nooit een maaltijd of een voedingswaarde. Op Android volgt ons gebruik van Health Connect het Health Connect-beleid van Google Play, inclusief de eisen voor beperkt gebruik (Limited Use).
• Andere apps: apps die je toestemming geeft om voedingsgegevens in Apple Health of Health Connect te lezen, kunnen deze invoer gebruiken, ook insuline- of loopingapps. De waarden zijn schattingen. De app waarschuwt je daarvoor voordat je dit aanzet.
• Grondslag: je uitdrukkelijke toestemming (art. 6(1)(a) en art. 9(2)(a) AVG), die je geeft door het aan te zetten en op je telefoon toe te staan. Je trekt haar in door de instelling uit te zetten.
• Uitzetten en verwijderen: zet het op elk moment uit in de instellingen van Carbetic. De app stopt dan met het toevoegen, bijwerken en verwijderen van maaltijden. Als je het later weer aanzet, verwerkt ze de wijzigingen en verwijderingen die je ondertussen hebt gedaan. Om Carbetic de toegang te ontnemen, open je de Gezondheid-app en tik je op je profielfoto, dan op Apps, dan op Carbetic, of open je Health Connect, dan App-machtigingen, dan Carbetic. Maaltijden die al zijn toegevoegd, blijven daar staan tot je ze daar verwijdert, een voor een of alles tegelijk vanuit Carbetic. Carbetic kan ze niet meer verwijderen nadat je de app hebt verwijderd.

2. Analyse van je maaltijden (niet door ons bewaard)

Als je Carbetic vraagt een maaltijd te analyseren, wordt de foto, het spraakbericht of de tekst die je indient veilig doorgestuurd naar een of meer externe AI-verwerkingspartners. Die maken de koolhydratenschatting en sturen die terug naar de app.

• We slaan deze invoer niet permanent op onze eigen servers op.
• Onze AI-partners verwerken de invoer op betaalde zakelijke voorwaarden waarbij jouw inhoud niet wordt gebruikt om hun modellen te trainen, en bewaren die slechts kort (meestal tot ongeveer 30 dagen) voor beveiliging en misbruikpreventie voordat ze die verwijderen.
• De schatting die daaruit volgt en de foto worden op je apparaat opgeslagen als je maaltijdgeschiedenis en blijven daar staan tot je ze verwijdert of de app verwijdert. Als je Carbetic Follow aanzet, worden dagoverzichten (en foto’s alleen als je die aanzet) daarnaast gedeeld zoals beschreven in punt 4.

Punt 2 tot en met 4 gelden voor de koolhydratenteller in de Carbetic-app. De app “T1D Babysitting by Carbetic” heeft geen koolhydratenteller.

3. Optioneel: uitgebreid delen van gegevens

Je kunt ervoor kiezen dat we je maaltijden gebruiken om de producten, functies, AI en het onderzoek van Carbetic te bouwen, te analyseren en te verbeteren. Dit staat standaard uit. Als je het aanzet:

• Bewaren we de maaltijdscans die je maakt, inclusief de foto’s, en alle correcties die je op een schatting aanbrengt, zodat onze modellen van echte voorbeelden kunnen leren.
• Bewaren we dit in gepseudonimiseerde vorm: onder een aparte willekeurige code, losgekoppeld van je anonieme account, je aandoening en elk e-mailadres dat je ons hebt gegeven.
• Gebruiken we het om de koolhydratenherkenning en andere AI van Carbetic te ontwikkelen, te trainen, te testen en te verbeteren, om bestaande en nieuwe functies en producten te bouwen en te verbeteren, voor onderzoek naar voeding, voedselherkenning en producten, voor analyses en om geanonimiseerde, geaggregeerde datasets en statistieken te maken. We mogen het delen met Carbetic en de partners die ons bij deze doelen helpen, onder contracten die hen tot dat gebruik beperken. We gebruiken het niet voor reclame en we vragen je opnieuw om toestemming voordat we het voor een werkelijk nieuw, niet-verwant doel gebruiken.
• Het is gebaseerd op je toestemming, die je op elk moment kunt intrekken in de instellingen. Als je haar intrekt, stopt elk verder gebruik van je gegevens. Gegevens die al in een getraind model zijn verwerkt, kunnen niet los uit dat model worden gehaald, maar ze worden van alle toekomstige training uitgesloten en de opgeslagen kopie wordt verwijderd.
• Het bevat nooit iets uit T1D Babysitting (punt 5.24).

4. Carbetic Follow: je gegevens delen met mensen die je kiest

Carbetic Follow is een optionele functie waarmee je je koolhydratenlogboek kunt delen met een persoon of organisatie die je vertrouwt, bijvoorbeeld je gezin of een team dat je ondersteunt. Er wordt niets gedeeld totdat je hun volgcode in de app invoert en dit uitdrukkelijk bevestigt op het toestemmingsscherm.

4.1 Wat er wordt gedeeld

• Dagoverzichten van je vastgelegde maaltijden van de afgelopen 90 dagen en, zolang het delen actief blijft, elke nieuwe dag: maaltijdtijden, geschatte koolhydraten en verwante voedingswaarden, hoe elke invoer is gemaakt (bijvoorbeeld 3D-scan of tekstinvoer) en dagtotalen.
• Maaltijdnamen en ingrediënten, tenzij je die uitzet.
• Maaltijdfoto’s, alleen als je ze aanzet (standaard uit).
• Het profiel dat je kiest om te delen: de naam die je invult, je geboortedatum en de avatar die je kiest.

Zoals overal in Carbetic is dit informatie over eten en voeding (punt 1.3): het is geen medisch dossier. Niets uit Carbetic Follow of je koolhydratenlogboek wordt ooit aan iemand in T1D Babysitting getoond.

4.2 Wie het ontvangt

De persoon of organisatie wiens volgcode je hebt ingevoerd, kan deze gegevens bekijken op ons webdashboard op follow.carbetic.app nadat die is ingelogd op het eigen account. We tonen je hun naam en organisatie voordat je toestemming geeft. Jij kiest de ontvanger. Hoe die gebruikt wat hij ziet, is zijn of haar eigen verantwoordelijkheid.

4.3 Opslag

Gedeelde gegevens worden hiervoor opgeslagen bij de cloudproviders die in punt 7 worden beschreven. Een vastlegging van je toestemming (waarmee je akkoord ging en wanneer) wordt bewaard als bewijs van toestemming (art. 7(1) AVG).

4.4 Grondslag

Het delen is gebaseerd op je toestemming (art. 6(1)(a) AVG), die je geeft op het toestemmingsscherm wanneer je verbinding maakt. Je kunt haar op elk moment intrekken.

4.5 Stoppen en verwijderen

Je kunt elke verbinding op elk moment stoppen in de instellingen. Door te stoppen worden de gedeelde kopie van je gegevens, inclusief foto’s, van het dashboard en van onze servers verwijderd. De vastlegging van je toestemming blijft bewaard als bewijs. De ontvanger kan de verbinding ook aan zijn of haar kant verwijderen, waardoor de gedeelde gegevens eveneens worden verwijderd.

4.6 Het dashboardaccount (voor mensen die gedeelde gegevens bekijken)

Als iemand zijn of haar gegevens met jou deelt en je het dashboard op follow.carbetic.app gebruikt, bewaren we je accountgegevens: je naam, je e-mailadres, je inlogmethode (Google, Apple of e-mail en wachtwoord), de naam van de organisatie die je invult, je volgcode, je weergavevoorkeuren en een vastlegging dat je de melding van het dashboard hebt geaccepteerd. We verwerken dit om het dashboard te kunnen bieden (art. 6(1)(b) AVG). Je kunt je dashboardaccount op elk moment verwijderen in de instellingen ervan. Daarmee verwijder je je accountgegevens en worden je verbindingen beëindigd.

5. T1D Babysitting: het netwerk voor gezinnen en babysitters

Dit punt geldt als je T1D Babysitting gebruikt. Het netwerk gebruiken is optioneel.

5.1 Wat het netwerk is, en wie verantwoordelijk is

T1D Babysitting helpt gezinnen met kinderen met type 1 diabetes (T1D) en babysitters met T1D-ervaring elkaar te vinden en met elkaar te praten. Je kunt het gebruiken in de Carbetic-app (de knop “T1D Babysitting” bovenaan het beginscherm) en in de app “T1D Babysitting by Carbetic”. Het is één netwerk met één account in beide apps. Het is wereldwijd beschikbaar, behalve in Cuba, Iran, Noord-Korea en Syrië, waar onze cloudprovider niet kan werken, en in Rusland.

Carbetic helpt mensen alleen elkaar te vinden en met elkaar te praten. We zijn geen bureau, geen werkgever en geen partij bij afspraken tussen leden. We controleren alleen de identiteit. We controleren geen achtergronden, strafregisters, kwalificaties of diabetesvaardigheden.

De verwerkingsverantwoordelijke is Diego Szekely, Carbetic (punt 17). Voor de profielen die leden publiceren, kunnen het lid en wij gezamenlijk verantwoordelijk zijn: jij bepaalt wat je profiel zegt, en wij bepalen hoe profielen worden getoond, gecontroleerd en beschermd. Volgens deze regeling handelen wij alle verzoeken over je gegevens af, en nemen wij de beveiliging van het netwerk en de moderatie voor onze rekening. Jij bent verantwoordelijk voor wat je over jezelf publiceert en, als ouder, over je kind. Je kunt je rechten altijd bij ons uitoefenen (punt 5.23).

5.2 De twee apps

• Carbetic is de app voor het tellen van koolhydraten. Het netwerk opent via een knop bovenaan het beginscherm.
• T1D Babysitting by Carbetic is een aparte app waarvan het beginscherm het netwerk is. Ze heeft geen koolhydratenteller en geen aankopen: haar voedingstabblad presenteert alleen de Carbetic-app, met een knop om die te downloaden of te openen. Net als Carbetic maakt ze bij de eerste start een anoniem app-ID (punt 1.2) en registreert ze je apparaat voor meldingen (punt 5.18). Ze bevat geen reclame- of attributietools.
• Tussen de twee apps: elke app kan op je apparaat nagaan of de andere is geïnstalleerd, zodat ze kan aanbieden die te openen of met hetzelfde account verder te gaan. Op de iPhone delen de twee apps hiervoor een klein notitiebestand op je apparaat: je account-ID, je voornaam (die in dat aanbod wordt getoond), of en met welke aanbieder je bent ingelogd en of je een abonnement hebt. Het bevat geen e-mailadres of wachtwoord en het verlaat je apparaat nooit.
• Eén account: als je in beide apps inlogt met hetzelfde Apple- of Google-account, of hetzelfde e-mailadres, gebruiken beide apps hetzelfde account en profiel.

5.3 Rondkijken zonder account

Je kunt de app openen en rondkijken zonder account en zonder ID-controle, met je anonieme app-ID. Om babysitters en gezinnen bij jou in de buurt te zien, publiceer je een profiel. Daarvoor is geen ID-controle nodig, alleen om berichten te sturen. Tot die tijd toont de kaart vervaagde voorbeeldmensen en geen echte gegevens. Om resultaten te tonen, verwerken we je app-ID, het gebied waar je naar kijkt (een plaats die je typt, het midden van de kaart of, als je dat kiest, je huidige locatie afgerond op een vierkant van ongeveer 5 km; punt 1.4) en technische gegevens die nodig zijn om misbruik te voorkomen. Voor de veiligheid worden zoekopdrachten en profielweergaven ook vastgelegd in ons veiligheidslogboek (punt 5.10).

Om te voorkomen dat mensen profielen kopiëren, tellen we hoeveel profielen een app-ID en een netwerkadres binnen een bepaalde periode openen. Van netwerkadressen bewaren we alleen een code die met een geheime sleutel is berekend uit het adresbereik, nooit het IP-adres zelf (punt 5.22).

Iedereen die een profiel heeft gepubliceerd, ziet de informatie op babysitter- en gezinsprofielen, inclusief dat een babysitter zelf diabetes heeft als die babysitter ermee instemde dat te tonen (punt 5.7), en alle foto’s. Niets wordt vervaagd (punt 5.6). Bezoekers zonder gepubliceerd profiel zien geen echte profielen of foto’s, alleen een vervaagde voorbeeldkaart. Mensen die geen lid zijn, kunnen per e-mail melden (punt 5.16).

Grondslagen: uitvoering van onze overeenkomst met jou (art. 6(1)(b) AVG) en ons gerechtvaardigd belang bij het beschermen van leden tegen kopiëren (art. 6(1)(f)).

5.4 Je account en inloggen

Om een profiel te publiceren, berichten te schrijven of reviews te schrijven, maak je een account aan door in te loggen met Apple, Google of je e-mailadres. We koppelen dit inloggen aan je bestaande anonieme app-ID, zodat je Carbetic-gegevens bij je blijven.

• Van Apple ontvangen we een gebruikers-ID, een e-mailadres en, als je die deelt, je naam. Als je “Verberg mijn e-mailadres” gebruikt, is het e-mailadres een privé-doorstuuradres. We gebruiken de naam alleen om je gegevens in te vullen. De naam die anderen zien, is de voornaam die je typt, en na je ID-controle de naam uit je identiteitsbewijs (punt 5.6).
• Van Google ontvangen we een gebruikers-ID en je e-mailadres. Als onderdeel van het standaard inloggen van Google geeft Google ook de naam en profielfoto van je Google-account door. We gebruiken de foto niet en tonen geen van beide ooit aan anderen. De app kan je de voornaam tonen, om je te laten zien met welk account je bent ingelogd. Je naam in het netwerk is de voornaam die je typt, en na je ID-controle de naam uit je identiteitsbewijs (punt 5.6).
• Met je e-mailadres krijg je een inloglink per e-mail. Onze e-mailprovider Resend verstuurt die voor ons. Lukt dat niet, dan verstuurt Google (Firebase Authentication) hem. We ontvangen je e-mailadres en de bevestiging dat je de link hebt geopend. Een wachtwoord heb je niet nodig. Als je de link op een andere telefoon opent, vraagt de app opnieuw om je e-mailadres.
• Je e-mailadres maakt deel uit van je accountgegevens. Andere leden zien het nooit: het staat niet op je profiel, niet in berichten en niet in meldingen. We gebruiken het alleen voor de doelen hieronder.
• Waarvoor we ze gebruiken: om je op elke telefoon en in beide apps in te laten loggen, en om je te herkennen als je ons vanaf dat adres schrijft (punt 5.23). Motiveringen na een moderatiebesluit en andere berichten over je account bereiken je in de app (punt 5.16).
• Je netwerkaccount legt ook vast welke rollen je hebt (gezin, babysitter of allebei), je accountstatus, in welke app je het hebt aangemaakt, wanneer je het netwerk voor het laatst gebruikte, en de app, het platform, de versie en de taal van je laatste netwerkverzoek, zodat berichten je in jouw taal bereiken.
• Apparaten: als je account wordt ingelogd op een nieuw apparaat, of in de andere Carbetic-app, laten we dat aan je andere apparaten weten. Onder “Inloggen en apparaten” zie je welke apparaten je account gebruiken (platform, app, laatste gebruik) en kun je ze uitloggen.
• Netwerkvoorwaarden: voordat je eerste profiel wordt opgeslagen, accepteer je de Netwerkvoorwaarden en de Communityrichtlijnen door “Ik ga akkoord” aan te vinken. We leggen de versie en het tijdstip vast en vragen het je opnieuw als er een nieuwe versie van toepassing is (punt 5.19).

Grondslag: uitvoering van onze overeenkomst met jou (art. 6(1)(b)).

5.5 ID-controle met Didit

Je kunt een profiel publiceren zonder de ID-controle. Je hebt die nodig om berichten te sturen. Je doet het één keer en het is gratis. Reviews kunnen pas worden geschreven nadat beide mensen berichten hebben gestuurd, dus iedereen die er een schrijft, heeft de controle doorstaan. Onze verwerker Didit (Barcelona, Spanje; gegevens worden in de EU verwerkt) voert de controle uit met zijn component in de app. Als de controle begint, zoekt deze component het globale land van je IP-adres op via IP-locatiediensten (ipapi.co, country.is, ipwho.is). Alleen je IP-adres wordt naar hen gestuurd.

Los van je koolhydratenscans. Je ID-controle staat los van je 3D-koolhydratenscans. We koppelen die twee nooit.

Voor de controle geef je ons je geboortemaand en geboortejaar, als je dat nog niet voor je profiel hebt gedaan (punt 5.6). Als je wilt oppassen en jonger bent dan 16, begint de controle niet. De controle vergelijkt je geboortemaand en geboortejaar met je identiteitsbewijs.

Wat Didit verwerkt: foto’s van je identiteitsbewijs, een live selfie en een korte liveness-controle, een vergelijking van je gezicht met de foto op het document (biometrische gegevens), de gegevens die op het document staan (namen, geboortedatum, documentnummer, nationaliteit, land van afgifte, vervaldatum) en technische gegevens over je apparaat en verbinding, om fraude op te sporen.

Je uitdrukkelijke toestemming. Het vergelijken van je gezicht is het verwerken van biometrische gegevens om je te identificeren (art. 9(1) AVG). Vóór de controle vragen we op een apart scherm om je uitdrukkelijke toestemming (art. 9(2)(a)). Deze toestemming dekt ook de automatische uitkomst van de controle (punt 5.17). Je kunt haar op elk moment intrekken. Dat geldt alleen voor toekomstige controles. Zonder de controle kun je nog steeds rondkijken en een profiel publiceren, maar kun je geen berichten sturen en dus ook geen reviews schrijven.

Wat er met de beelden gebeurt. Direct na het besluit vragen we Didit de hele sessie te verwijderen, inclusief de beelden, de video en de gezichtsvergelijking. Als een controle handmatig moet worden beoordeeld, bewaart Didit de sessie tot 14 dagen, tot de beoordeling klaar is. Didit vergelijkt je gezicht alleen met je eigen document, nooit met selfies van andere mensen, bewaart geen gezichtssjabloon en mag je gegevens niet voor eigen doelen gebruiken.

Wat Carbetic bewaart:

• dat je bent geverifieerd, de datum en de aanbieder;
• je geverifieerde voornaam of voornamen en de eerste letter van je achternaam (je weergavenaam in het netwerk na de controle);
• je geboortejaar en geboortemaand (om je leeftijd te tonen en om te weten of je 16 of 17 bent), of je volwassen bent, en de geboortemaand en het geboortejaar die je ons vóór de controle hebt gegeven;
• het land dat je document heeft afgegeven;
• ID-vingerafdrukken: codes die met een geheime sleutel worden berekend uit je documentnummer, eventueel je nationale identificatienummer, en je namen met je geboortedatum. Ze kunnen niet worden teruggerekend naar je gegevens. We gebruiken ze alleen om dubbele accounts op te sporen en te voorkomen dat verwijderde leden zich opnieuw aanmelden;
• een verwijzing naar de Didit-sessie zonder persoonsgegevens, gedurende 90 dagen.

Wat Carbetic nooit opslaat: beelden van documenten, selfies, video’s, gezichtsgegevens, documentnummers, je volledige geboortedatum, je achternaam uit je document (we bewaren alleen de eerste letter), je nationaliteit of het adres op je document.

Grondslagen: je uitdrukkelijke toestemming voor de gezichtsvergelijking (art. 9(2)(a)), uitvoering van onze overeenkomst met jou voor de uitkomst (art. 6(1)(b)) en, voor de vingerafdrukken, ons gerechtvaardigd belang bij het voorkomen van fraude, dubbele accounts en de terugkeer van verwijderde leden, wat kinderen en alle leden beschermt (art. 6(1)(f)).

“ID-geverifieerd” op een profiel betekent alleen dat een identiteitsbewijs op die datum overeenkwam met de live selfie van de persoon en dat de controles op leeftijd, dubbele accounts en verwijdering zijn doorstaan. Het zegt niets over karakter, vaardigheden of gezondheid.

5.6 Profielen

Babysitterprofiel: weergavenaam (je voornaam en de eerste letter van je achternaam, zoals je ze hebt getypt; na de ID-controle uit je identiteitsbewijs), leeftijd (volwassenen kunnen die verbergen; bij 16- en 17-jarigen altijd zichtbaar), maximaal 6 foto’s (foto 1 toont jou), een tekst over jezelf, je antwoord op “Welke ervaring heb je met diabetes?” (ik heb zelf diabetes; mijn partner, mijn beste vriend(in) of iemand in mijn familie heeft diabetes; of iets anders, in een paar woorden), de apparaten die je kent (gemarkeerd als zelf opgegeven), maximaal 8 hobby’s, talen en niveaus, optionele tarieven per uur en voor een overnachting, je globale gebied, sinds wanneer je lid bent en ID-geverifieerd, en reviews zodra je er 4 of meer hebt.

Gezinsprofiel: weergavenaam (zoals bij babysitters, maar zonder leeftijd), maximaal 6 optionele foto’s (foto 1 is je profielfoto; de andere kunnen gezinsfoto’s zijn, waarop je kinderen te zien kunnen zijn), een tekst over het gezin, hoeveel kinderen je hebt en hun leeftijdsgroepen (0-2, 3-5, 6-9, 10-13, 14-17), met jouw toestemming (punt 5.7) hoeveel van hen T1D hebben en de diabetesapparaten die ze gebruiken, talen, een optioneel budget, je globale gebied, en reviews zodra je er 4 of meer hebt. Gezinsprofielen bevatten nooit namen, verjaardagen of scholen van kinderen.

Vóór de ID-controle: je kunt een profiel publiceren zonder de ID-controle. We bewaren dan de voor- en achternaam die je typt en de geboortemaand en het geboortejaar die je ons geeft. Je achternaam wordt privé bewaard en nooit volledig getoond. We gebruiken de geboortemaand en het geboortejaar om de leeftijd van een babysitter te tonen en om ervoor te zorgen dat babysitters 16 jaar of ouder zijn en gezinnen 18 jaar of ouder, en dat babysitters van 16 of 17 bevestigen dat een ouder of voogd ermee akkoord gaat (punt 5.8). Je profiel toont je voornaam en de eerste letter van je achternaam, zonder “ID-geverifieerd”. Het toont nooit je geboortemaand en geboortejaar. Babysitterprofielen tonen alleen de leeftijd. De ID-controle vergelijkt de geboortemaand en het geboortejaar later met je identiteitsbewijs, en na de controle komt de getoonde naam uit je identiteitsbewijs (punt 5.5).

Wie wat ziet:

• Babysitterprofielen, ook die van babysitters van 16 en 17, kunnen worden gezien door iedereen die in T1D Babysitting een profiel heeft gepubliceerd.
• Gezinsprofielen kunnen worden gezien door iedereen die in T1D Babysitting een profiel heeft gepubliceerd. Mensen zonder gepubliceerd profiel, met of zonder account, zien geen babysitter- of gezinsprofielen.
• Foto’s, ook gezinsfoto’s, zijn zichtbaar voor iedereen die het profiel kan zien. Niets wordt vervaagd.
• Je hebt de ID-controle niet nodig om een profiel te publiceren. Je hebt die nodig om berichten te sturen (punt 5.5).
• Iemand met wie je in gesprek bent, kan je profiel nog steeds zien zolang het gesprek open is, ook als je je profiel hebt gepauzeerd.
• Je kunt je profiel op elk moment pauzeren. Het verdwijnt dan uit de zoekresultaten en van de kaart.

Foto’s van kinderen: gezinsfoto’s kunnen je kinderen laten zien. Als hun ouder of voogd bepaal je zelf of je ze plaatst, en je bent verantwoordelijk voor die keuze. Plaats alleen foto’s van kinderen die je mag delen. Net als de rest van je gezinsprofiel zijn ze zichtbaar voor iedereen die in T1D Babysitting een profiel heeft gepubliceerd. We noemen of taggen de kinderen nooit en analyseren geen gezichten. Je kunt een foto op elk moment verwijderen.

Omgang met foto’s: de app verwijdert locatiegegevens en andere metagegevens, en onze server codeert elke foto opnieuw. Echte foto’s worden alleen getoond via links die na korte tijd niet meer werken, en de app heeft geen knop om foto’s van een ander lid te downloaden, op te slaan of te delen.

Controles voor publicatie: profielteksten en foto’s worden automatisch gecontroleerd voordat anderen ze zien (punt 5.12). Een profiel gaat pas live nadat je de Netwerkvoorwaarden hebt geaccepteerd, en voor babysitters van 16 en 17 pas nadat ze bevestigen dat een ouder of voogd ermee akkoord gaat (punt 5.8).

Profielen worden alleen in de apps getoond. Ze hebben geen openbare webpagina’s en worden niet door zoekmachines geïndexeerd.

Grondslag: uitvoering van onze overeenkomst met jou (art. 6(1)(b)), ook voor gezinsfoto’s die je zelf toevoegt en voor de voor- en achternaam en de geboortemaand en het geboortejaar die je vóór de ID-controle opgeeft. Voor gezondheidsinformatie, zie punt 5.7.

5.7 Gezondheidsinformatie en je toestemming

Sommige profielgegevens zijn gezondheidsgegevens (art. 9 AVG). We verwerken ze alleen met uitdrukkelijke toestemming, die je geeft in een aparte stap met een selectievakje dat niet vooraf is aangevinkt.

• Babysitters: het antwoord “Ik heb zelf diabetes” onthult je eigen gezondheid. We tonen het alleen met je uitdrukkelijke toestemming, gegeven bij dat veld (art. 9(2)(a)). Net als de rest van een babysitterprofiel kan het dan worden gezien door iedereen die een profiel heeft gepubliceerd. De andere antwoorden (partner, beste vriend(in), familielid of iets anders) noemen de andere persoon nooit bij naam.
• Gezinnen: een gezinsprofiel kan tonen hoeveel van je kinderen T1D hebben en welke diabetesapparaten ze gebruiken. Als ouder of wettelijk voogd geef je hiervoor uitdrukkelijke toestemming namens je kind aan het einde van het aanmaken van je profiel (art. 9(2)(a)). Zonder die toestemming wordt je profiel zonder deze gegevens gepubliceerd. Hoeveel kinderen je hebt en hun leeftijdsgroepen zijn gewone profielgegevens: die worden getoond, of je deze toestemming nu geeft of niet (punt 5.6). Omdat het netwerk bedoeld is voor gezinnen met kinderen met T1D, toont een gepubliceerd gezinsprofiel hoe dan ook dat je een babysitter zoekt voor een kind met T1D. Net als de rest van het gezinsprofiel kan deze informatie worden gezien door iedereen die in T1D Babysitting een profiel heeft gepubliceerd.

Je kunt je toestemming op elk moment intrekken in de profielinstellingen. De informatie wordt dan meteen verborgen. Een gezinsprofiel blijft gepubliceerd zonder de gegevens over het kind.

In berichten bepaal je zelf of je gezondheidsinformatie deelt. We bewaren die alleen om haar te bezorgen bij de persoon die je hebt gekozen, analyseren haar nooit en verwijderen haar samen met het bericht (punt 5.11).

Het netwerk ontvangt nooit je koolhydratenlogboek, glucosegegevens, Carbetic Follow-gegevens of je antwoord over je aandoening uit de Carbetic-app, en geeft nooit gegevens van een kind uit Carbetic door aan een babysitter.

5.8 Babysitters van 16 en 17

Babysitters kunnen 16 of 17 zijn. Gezinnen moeten 18 of ouder zijn. We controleren de leeftijd met de geboortemaand en het geboortejaar die je ons geeft, en de ID-controle bevestigt die. Voor babysitters van 16 en 17:

• voordat ze een babysitterprofiel publiceren, vraagt de app hen één vakje aan te vinken: “Mijn ouder of voogd gaat ermee akkoord dat ik oppas”. We leggen vast dat ze het hebben aangevinkt, met het tijdstip en de versie van de tekst (punt 5.19). We vragen niet om gegevens over de ouder of voogd en bewaren die ook niet;
• het profiel toont altijd hun leeftijd;
• meldingen van seksuele inhoud of intimidatie waarbij zij betrokken zijn, worden behandeld als de meest urgente gevallen (punt 5.16).

Als een ouder of voogd er niet mee akkoord gaat: die kan schrijven naar safety@carbetic.app, ook zonder account. Wij halen het babysitterprofiel dan offline en sluiten de openstaande gesprekken. Dit is geen straf. We bewaren het bericht en onze notitie over de afhandeling als een dossier (punt 5.22). Zodra de zaak is opgelost, kan de babysitter het vakje opnieuw aanvinken en het profiel opnieuw publiceren.

Grondslagen: uitvoering van onze overeenkomst (art. 6(1)(b)) en ons gerechtvaardigd belang bij het beschermen van jonge babysitters en bij het kunnen aantonen van de bevestiging (art. 6(1)(f)).

5.9 Adres en globaal gebied

Je profiel gebruikt nooit de locatie van je apparaat. Om een profiel te publiceren, typ je één keer je adres.

• Controle: we vragen Google Address Validation of het adres bestaat. We gebruiken alleen het oordeel daarvan en de correcties van postcode en plaats die je accepteert.
• Positie: onze server zet het adres één keer om in kaartcoördinaten met de dienst OpenStreetMap Nominatim. Alleen het adres wordt verstuurd, zonder je naam, account of IP-adres. Lukt dat niet, dan gebruiken we het midden van je postcode uit de open dataset GeoNames, die op onze eigen servers staat.
• Globaal gebied: we plaatsen je in een rastervierkant van ongeveer 2 km (babysitters) of 3 km (gezinnen en iedereen met een gezinsprofiel) en zetten je punt op een willekeurige plek binnen dat vierkant. De plek blijft hetzelfde tot je je adres wijzigt. Op de kaart verschijnt je profiel als een speld op dat punt, en je gebied als een zachte cirkel wanneer iemand je profiel selecteert, nooit als je adres. Als we je adres alleen op postcode kunnen plaatsen, of als een gezin op hetzelfde adres woont, is het vierkant groter. Je kunt altijd een vierkant van 5 km kiezen of alleen je plaats tonen.
• Niets exacts wordt bewaard: straat, huisnummer en exacte coördinaten bestaan alleen in het geheugen tijdens deze stap. Ze worden nooit opgeslagen en nooit aan iemand getoond.

Wat we bewaren: land, postcode, plaats, de uitkomst van de adrescontrole, het rastervierkant op de kleinste grootte voor jouw rol (zodat je de gebiedsgrootte kunt wijzigen zonder opnieuw je adres te typen), je gepubliceerde punt en gebiedskeuze, en een code die met een geheime sleutel uit je adres wordt berekend (om hetzelfde adres opnieuw te herkennen, bijvoorbeeld voor het grotere vierkant bij een gedeeld adres).

Wat anderen zien: een cirkel die je globale gebied bedekt (ongeveer 2 km voor babysitters en 3 km voor gezinnen, of groter als je een groter gebied hebt gekozen), of alleen je plaats, afstanden alleen in categorieën (minder dan 20 km, 20 tot 35 km, 35 tot 50 km, meer dan 50 km), en een kaart waarop niet tot straatniveau kan worden ingezoomd.

Binnen Carbetic: om het netwerk te beheren en om leden te kunnen schrijven (punt 5.11), kunnen onze beheerders in een interne lijst en kaart in ons beheerdashboard uitgebreide informatie over netwerkaccounts inzien. Locaties worden daar alleen getoond op het gepubliceerde punt, hetzelfde punt dat anderen zien. Alleen onze beheerders hebben er toegang toe, en elke toegang wordt vastgelegd (punt 5.22).

Grondslagen: uitvoering van onze overeenkomst (art. 6(1)(b)) en ons gerechtvaardigd belang bij het privé houden van woningen en het voorkomen van valse locaties (art. 6(1)(f)); voor de interne lijst en kaart ons gerechtvaardigd belang bij het beheren, ondersteunen en beschermen van het netwerk (art. 6(1)(f)).

5.10 Zoeken, volgorde van resultaten, favorieten en het veiligheidslogboek

Om resultaten te tonen, vergelijken we gepubliceerde punten en berekenen we afstandscategorieën (boven 50 km in stappen van 25 km). Binnen een categorie wordt de volgorde per kijker en per dag door elkaar gehusseld, en complete profielen krijgen een kleine voorkeur. Er is geen betaalde rangschikking en geen rangschikking op reviews of activiteit. Hiervoor maken we geen profiel van je interesses. “Hoe resultaten worden gerangschikt” in de app legt de details uit.

Favorieten worden bij je account bewaard. Alleen jij ziet ze. Ze worden verwijderd als het andere profiel wordt verwijderd.

Gebruikersaantallen: de digitaledienstenverordening (DSA) verplicht ons om de autoriteiten, als zij erom vragen, te vertellen hoeveel mensen het netwerk gebruiken. Daarvoor noteert onze server of een app-ID het netwerk in een kalendermaand heeft gebruikt en bewaart alleen het maandtotaal.

Veiligheidslogboek: om misbruik zoals stalking te onderzoeken, houdt onze server een logboek bij van zoekopdrachten en weergaven in het netwerk. Voor elke zoekopdracht legt het het app-ID of account vast, het tijdstip, het globale zoekgebied (een rastervierkant, nooit exacte coördinaten, en helemaal niets bij een zoekopdracht rond je huidige locatie), de afstandscategorie en het aantal resultaten. Voor elke profielweergave legt het vast wie welk profiel wanneer bekeek, en voor elke fotoweergave wie welke foto wanneer ontving. Je kunt het logboek niet zien en het wordt niet gebruikt voor rangschikking, reclame of analyses. Alleen onze moderatoren kunnen het openen, om een veiligheidszaak te onderzoeken, en elke inzage wordt ook vastgelegd. Vermeldingen worden na 12 maanden automatisch verwijderd.

Grondslagen: uitvoering van onze overeenkomst (art. 6(1)(b)), voor het maandtotaal onze wettelijke verplichting (art. 6(1)(c)), en voor het veiligheidslogboek ons gerechtvaardigd belang bij veiligheid en bij het voorkomen van misbruik, wat leden en kinderen beschermt (art. 6(1)(f)).

5.11 Berichten

Wat we verwerken: de tekst en foto’s die je stuurt, het tijdstip, de reacties die je aan berichten toevoegt (één van zes emoji’s per persoon en per bericht, die samen met het bericht worden verwijderd), of een bericht is bezorgd en gelezen (je kunt leesbevestigingen uitzetten, dan zie je die van anderen ook niet), of iemand aan het typen is, en of je een gesprek hebt gedempt of verborgen. Voor de gesprekkenlijst bewaart onze server een kopie van de eerste 80 tekens van het laatste bericht. Tenzij je op een apparaat “Voorbeeld van berichten tonen” uitzet, tonen de meldingen daarvan maximaal 120 tekens van een nieuw bericht (punt 5.18). Die kopie wordt van onze servers verwijderd zodra de melding is verstuurd.

Foto’s: je kiest ze uit je fotobibliotheek. De app verwijdert locatiegegevens en andere metagegevens en onze server codeert de foto opnieuw. Foto’s worden opgeslagen in een privé-opslagruimte en alleen getoond via links die na maximaal 90 minuten niet meer werken. Ze worden vóór bezorging automatisch gecontroleerd (punt 5.13).

Versleuteling en toegang: berichten zijn versleuteld tijdens het transport en bij opslag, maar niet end-to-end. Afgezien van de vaste controles op contactgegevens en verboden woorden wanneer een bericht wordt verstuurd (punt 5.14), lezen, scannen, vertalen of analyseren onze servers de tekst van berichten nooit. Mensen bij Carbetic zien berichten alleen wanneer iemand in het gesprek berichten uit dat gesprek meldt of de andere persoon meldt (punt 5.16), of wanneer de wet dat vereist. Bij een melding van berichten zien onze moderatoren de gemelde berichten en tot 20 berichten ervoor en erna. Bij een melding van de andere persoon zien ze de laatste 20 berichten van het gesprek vóór de melding. Foto’s in deze berichten zijn inbegrepen en worden hun alleen getoond via links die na korte tijd niet meer werken. Elke toegang wordt vastgelegd.

Blokkeren: als je iemand blokkeert, wordt het gesprek voor jullie allebei gesloten. De berichten blijven op onze server staan tot hun normale verwijderdatum, zodat een melding nog kan worden afgehandeld.

Grondslag: uitvoering van onze overeenkomst met jou (art. 6(1)(b)). Voor zover de chat als communicatiedienst geldt, volgen we ook de regels over de vertrouwelijkheid van communicatie (art. 5 van de ePrivacyrichtlijn en § 161 van de Oostenrijkse Telecommunicatiewet 2021).

Berichten tussen jou en Carbetic (de Carbetic-chat): Carbetic kan je in de app schrijven, bijvoorbeeld om een vraag te beantwoorden, om je te helpen met je account of om je te informeren over T1D Babysitting. Deze berichten verschijnen op het tabblad Berichten als een chat met de naam “Carbetic”, pas nadat wij je hebben geschreven. Je kunt daar antwoorden, ook zonder de ID-controle. Deze chat is tussen jou en Carbetic, niet met een ander lid: alleen onze beheerders kunnen hem openen, in ons beheerdashboard, om hem te lezen en te beantwoorden. Andere leden zien hem nooit. We verwerken de teksten in deze chat (alleen tekst, geen foto’s), wanneer ze zijn verstuurd en gelezen, en een kopie van maximaal 200 tekens van het laatste bericht voor de chatlijst. Een nieuw bericht van Carbetic wordt, net als elk ander bericht, met een melding aangekondigd (punt 5.18). Deel daar alleen gezondheidsinformatie als je vraag dat nodig maakt. De berichten worden 24 maanden na verzending verwijderd, en de hele chat wanneer je je netwerkaccount verwijdert (punt 5.22). Grondslagen: uitvoering van onze overeenkomst met jou (art. 6(1)(b)) voor ondersteuning en berichten over je account; ons gerechtvaardigd belang bij het informeren van leden over het netwerk (art. 6(1)(f)).

5.12 Automatische controles van profielen, foto’s en reviews

Er is geen handmatige goedkeuring. Voordat anderen ze zien, worden je foto’s, profielteksten, je antwoord “iets anders” en reviews automatisch gecontroleerd. Geen kunstmatige intelligentie leest je teksten. Foto’s gaan door de geautomatiseerde beeldcontrole van Google (punt 5.13).

• Foto’s (op profielen en in berichten) worden gecontroleerd door Google Cloud Vision SafeSearch, verwerkt in EU-regio’s. Die beoordeelt hoe waarschijnlijk het is dat een foto inhoud voor volwassenen, gewelddadige of suggestieve inhoud toont. Een foto die waarschijnlijk inhoud voor volwassenen of geweld bevat, of zeer waarschijnlijk suggestief is, wordt niet gepubliceerd. SafeSearch herkent geen gezichten en identificeert niet wie er te zien is. We verwijderen ook locatiegegevens en andere metagegevens, coderen de foto opnieuw en beperken de grootte en het bestandstype.
• Profielteksten, het antwoord “iets anders” en reviews worden gecontroleerd met vaste regels voor telefoonnummers, e-mailadressen, links en namen van berichtendiensten, woorden uit een korte lijst met verboden woorden, en de lengte. Reviews worden nooit gecontroleerd op of ze positief of negatief zijn.
• We bewaren alleen de uitkomst en de reden. Als een controle mislukt, zie je wat je moet aanpassen en kun je een mens vragen het te beoordelen (punt 5.17). Als de dienst niet beschikbaar is, wordt niets gepubliceerd tot de controle kan worden uitgevoerd.
• Google verwerkt de foto’s namens ons en gebruikt ze niet om zijn modellen te trainen.

Andere regels in de Communityrichtlijnen, bijvoorbeeld welke foto’s je mag plaatsen, worden niet automatisch gecontroleerd. We treden daarbij op als iemand een overtreding meldt.

Grondslagen: uitvoering van onze overeenkomst met jou (art. 6(1)(b)), omdat deze controles het netwerk binnen zijn regels houden, en ons gerechtvaardigd belang bij de veiligheid van leden en kinderen (art. 6(1)(f)).

5.13 Foto’s in berichten en hun automatische controle

Voordat een foto in een gesprek wordt bezorgd, controleert Google Cloud Vision SafeSearch, verwerkt in EU-regio’s, die automatisch op inhoud voor volwassenen en geweld, op dezelfde manier als bij profielfoto’s (punt 5.12). Voor deze controle is geen aparte toestemming nodig. Ze hoort bij de chat. De controle kijkt alleen naar de afbeelding. Ze herkent geen gezichten en ziet de berichttekst nooit.

• Een foto die door de controle komt, wordt bezorgd. We bewaren alleen de uitkomst van de controle bij het bericht.
• Een foto die niet door de controle komt, wordt niet bezorgd en binnen 24 uur verwijderd. Je ziet dat hij niet is verstuurd en kunt een mens vragen het besluit te beoordelen.
• Als iemand een foto meldt, komt een kopie in het beschermde dossier (punt 5.16).
• Google verwerkt de foto’s namens ons en gebruikt ze niet om zijn modellen te trainen.

Grondslagen: uitvoering van onze overeenkomst (art. 6(1)(b)) en ons gerechtvaardigd belang bij het beschermen van leden en kinderen tegen seksuele en gewelddadige beelden (art. 6(1)(f)). Voor zover de chat als communicatiedienst geldt, volgen we ook de regels over de vertrouwelijkheid van communicatie. Voor bewijsmateriaal dat gezondheidsgegevens of andere gegevens van een bijzondere categorie bevat: het instellen, uitoefenen of onderbouwen van een rechtsvordering (art. 9(2)(f)).

5.14 Contactgegevens in berichten, en veiligheidstips

Om gesprekken in de app te houden, waar melden en blokkeren je beschermen, kunnen telefoonnummers, e-mailadressen en links of namen van berichtendiensten (bijvoorbeeld WhatsApp, Telegram, Signal, Instagram, Snapchat of Facebook) niet in berichten worden verstuurd. De app controleert de tekst terwijl je typt, en onze database controleert haar opnieuw wanneer het bericht wordt opgeslagen, met dezelfde vaste patronen. Datums, tijden, prijzen, postcodes en leeftijden worden niet geraakt. Een bericht dat overeenkomt, wordt niet verstuurd. Er wordt niets over opgeslagen en niemand wordt ervan op de hoogte gesteld.

Berichten met een woord uit een korte lijst met grove scheldwoorden en expliciete seksuele termen worden ook niet verstuurd. De app vraagt je het anders te formuleren. Er wordt niets over opgeslagen.

Als je iets typt dat lijkt op een bankrekening of een betalingsverzoek, kan de app een korte tip tonen. Als je zo’n bericht ontvangt, kan de app een tip eronder tonen. Deze controle draait alleen op je apparaat. Er wordt niets over naar ons gestuurd of opgeslagen.

Grondslag: ons gerechtvaardigd belang bij de veiligheid van leden, en vooral van kinderen (art. 6(1)(f)).

5.15 Reviews

Zodra beide mensen in een gesprek minstens één bericht hebben gestuurd, kan elk van hen één review over de ander schrijven: 1 tot 5 sterren, maximaal 3 labels uit een vaste lijst en een tekst. Reviews komen van mensen die elkaar op Carbetic hebben geschreven. We controleren niet of ze elkaar hebben ontmoet. Een review wordt meteen gepubliceerd. Als je een nieuwe review over dezelfde persoon schrijft, vervangt die je eerdere. Reviews worden automatisch gecontroleerd (punt 5.12).

Een gepubliceerde review toont de weergavenaam van de schrijver, de rol (gezin of babysitter) en de maand waarin ze is geschreven. Reviews en het gemiddelde worden pas getoond als een profiel 4 of meer reviews heeft. Je kunt de reviews over jou altijd zien. Er zijn geen openbare reacties. Schrijvers kunnen hun review op elk moment verwijderen en iedereen kan een review melden. Als de schrijver zijn of haar account verwijdert, blijft de review staan zonder naam (“Een gezin” of “Een babysitter”). Als de persoon over wie de review gaat zijn of haar account verwijdert, worden alle reviews over die persoon verwijderd.

Grondslagen: uitvoering van onze overeenkomst voor de reviewfunctie (art. 6(1)(b)), ons gerechtvaardigd belang bij het tonen van eerlijke reviews aan andere leden (art. 6(1)(f)).

5.16 Meldingen, blokkades, moderatie en autoriteiten

Meldingen: je kunt in de app een profiel, een gesprek, een afzonderlijk bericht, een foto of een review melden. Mensen zonder de app kunnen schrijven naar safety@carbetic.app. We bewaren de melding (reden, de geschreven details, wie meldde, wanneer) en een kopie van de gemelde inhoud die onze server heeft gemaakt: het profiel, de gemelde berichten met tot 20 berichten ervoor en erna, de foto of de review. Als je iemand meldt met wie je hebt gechat, zien onze moderatoren ook de laatste 20 berichten van jullie gesprek vóór de melding, met de foto’s daarin (punt 5.11). We vertellen de gemelde persoon nooit wie hem of haar heeft gemeld.

Beschermend verbergen: het gemelde account wordt meteen verborgen, tot een mens beslist (normaal gesproken binnen 24 uur), na een melding door een ID-geverifieerd lid dat een kind gevaar kan lopen of van bedreigingen (of van seksuele inhoud of intimidatie waarbij een babysitter van 16 of 17 betrokken is), of na meldingen door 3 verschillende ID-geverifieerde leden binnen 7 dagen. Meldingen door bezoekers worden eerst beoordeeld, maar verbergen nooit automatisch iemand.

Blokkades: we bewaren wie wie heeft geblokkeerd, zodat de blokkade in beide richtingen werkt.

Moderatie: Diego Szekely en één met naam aangewezen reservemoderator beoordelen meldingen, normaal gesproken binnen 24 uur. De reservemoderator handelt volgens onze instructies en is gebonden aan geheimhouding. We bewaren het dossier, ons besluit, de redenen, de motivering die we je in de app sturen, en een logboek van elke handeling en van elke inzage in bewijsmateriaal. Maatregelen lopen uiteen van een waarschuwing tot het verwijderen van inhoud, beperkingen, schorsing en verwijdering uit het netwerk. Je kunt om herbeoordeling van elk besluit vragen door binnen 6 maanden te schrijven naar safety@carbetic.app. Je kunt ook naar de rechter stappen.

Bericht aan eerdere contacten: als een lid na een veiligheidsbeoordeling wordt verwijderd, bijvoorbeeld omdat een kind gevaar liep of vanwege bedreigingen, seksueel wangedrag of fraude, kunnen we de mensen aan wie dat lid heeft geschreven laten weten dat het lid na een veiligheidsbeoordeling niet meer op T1D Babysitting zit, met veiligheidstips. We zeggen niet waarom.

Autoriteiten: als we een misdrijf vermoeden dat iemands leven of veiligheid bedreigt, informeren we de politie of andere bevoegde autoriteiten en geven we hun de relevante gegevens, zoals het dossier, het account, de geverifieerde voornaam, het geboortejaar en het land van het document, het profiel en relevante berichten en foto’s (digitaledienstenverordening, art. 18). We beantwoorden bevelen van autoriteiten en rechtbanken (digitaledienstenverordening, art. 9 en 10; contact legal@carbetic.app) en verzoeken om informatie die de wet toestaat, bijvoorbeeld op grond van § 13 van de Oostenrijkse e-commercewet, pas nadat we hebben gecontroleerd of ze geldig zijn. We bewaren geen IP-adressen in onze eigen administratie. De verzoeklogboeken van onze cloudprovider kunnen 30 dagen lang IP-adressen bevatten (punt 5.22).

Grondslagen: wettelijke verplichtingen (art. 6(1)(c)) op grond van de digitaledienstenverordening (DSA), ons gerechtvaardigd belang bij het veilig houden van het netwerk, het beschermen van kinderen en het verdedigen van rechtsvorderingen, en het belang van eerdere contacten bij hun eigen veiligheid (art. 6(1)(f)), voor gezondheidsgegevens in bewijsmateriaal het instellen, uitoefenen of onderbouwen van een rechtsvordering (art. 9(2)(f)).

5.17 Geautomatiseerde besluiten en je recht op menselijke beoordeling

Sommige besluiten in het netwerk worden automatisch genomen:

Bij elk besluit vertellen we je de belangrijkste reden. Je kunt een mens vragen het te beoordelen (“Menselijke beoordeling aanvragen” in de app, of safety@carbetic.app), je standpunt naar voren brengen en het besluit aanvechten (art. 22(3) AVG). De grondslagen zijn de uitvoering van onze overeenkomst (art. 22(2)(a)) en, voor de ID-controle, die biometrische gegevens gebruikt, je uitdrukkelijke toestemming (art. 22(2)(c) en (4)).

5.18 Meldingen

• Een melding van een nieuw bericht toont de weergavenaam van de afzender en standaard het begin van het bericht (maximaal 120 tekens), ook op je vergrendelscherm. Je kunt dit per apparaat apart uitzetten (“Voorbeeld van berichten tonen” op het tabblad Profiel, onder Chat). De meldingen op dat apparaat tonen dan alleen de naam en bijvoorbeeld “Heeft je een bericht gestuurd”. Daarnaast gelden de meldingsinstellingen van je telefoon zelf, bijvoorbeeld dat voorbeelden alleen worden getoond als je telefoon ontgrendeld is. Foto’s krijgen nooit een voorbeeld. Andere meldingen van het netwerk tonen nooit berichttekst, gezondheidsinformatie of informatie over kinderen.
• We sturen meldingen over nieuwe berichten en foto’s, reacties op je berichten (de naam en de emoji, nooit het bericht), berichten van Carbetic (punt 5.11), een herinnering als je ongeveer een dag lang niet op een bericht hebt gereageerd, reviews, de uitkomst van je ID-controle, de status van je profiel, de uitkomst van je meldingen, moderatie- en veiligheidsberichten, en inloggen op een nieuw apparaat. We gebruiken ze nooit voor reclame.
• Als iemand binnen ongeveer 50 km van jou een profiel publiceert, kunnen we je een melding sturen, hoogstens één per dag, bijvoorbeeld “Er is een nieuwe babysitter bij jou in de buurt” of “Er is een nieuw gezin bij jou in de buurt”. Daarvoor gebruiken we alleen het globale gebied dat al voor je profiel is opgeslagen, en er staat geen naam of andere informatie in. Ze wordt tussen 21:00 en 08:00 in je lokale tijd niet verstuurd en wacht tot de ochtend. Je kunt haar uitzetten in de instellingen voor meldingen.
• Elke app registreert je apparaat voor meldingen met een pushtoken, welke app het is, de taal en tijdzone, het land dat op je telefoon is ingesteld (punt 1.4), of meldingen zijn toegestaan, of dit apparaat netwerkmeldingen toont en of voorbeelden aan staan. Als beide apps op één telefoon staan, gaan netwerkmeldingen naar de app T1D Babysitting.
• De app vraagt om toestemming nadat je eerste profiel is gepubliceerd. Berichten werken ook zonder meldingen.
• Meldingen worden bezorgd via de Apple Push Notification service en Firebase Cloud Messaging. De bezorgingsregistratie op onze server wordt na 7 dagen verwijderd.

Grondslag: je toestemming, gegeven in het meldingsverzoek van je telefoon (art. 6(1)(a)).

5.19 Vastleggingen van toestemmingen en meldingen

We leggen vast, met de versie van de tekst en het tijdstip: je acceptatie van de Netwerkvoorwaarden en de Communityrichtlijnen, elke toestemming die je geeft of intrekt (ID-controle, je gezondheidsinformatie, de gezondheidsinformatie van je kind), de bevestiging door een babysitter van 16 of 17 dat een ouder of voogd ermee akkoord gaat, en wanneer je het veiligheidsbericht in een gesprek sluit. Hiermee kunnen we aantonen dat je bent geïnformeerd en akkoord bent gegaan. Het sluiten van het veiligheidsbericht is geen toestemming.

Grondslagen: de wettelijke verplichting om toestemming aan te tonen (art. 6(1)(c) met art. 7(1) AVG) en ons gerechtvaardigd belang bij het kunnen aantonen dat veiligheidsinformatie is getoond (art. 6(1)(f)).

5.20 Wie netwerkgegevens ontvangt

• Andere leden: wat je publiceert, zoals beschreven in punt 5.6 en 5.15. De mensen aan wie je schrijft, ontvangen je berichten.
• Didit (verwerker; Barcelona, Spanje): de ID-controle (punt 5.5).
• Google (verwerker): hosting en database (Firebase en Google Cloud; database in de EU, functies en bestandsopslag in Frankfurt), inloglinks per e-mail (Firebase Authentication), bezorging van meldingen (Firebase Cloud Messaging) en de fotocontrole (Cloud Vision SafeSearch, EU-regio’s).
• Resend (verwerker; e-mailbezorging, EU-regio): je e-mailadres en de inlog-e-mail die het voor ons verstuurt (punt 5.4).
• Google Maps Platform Address Validation: het adres dat je typt, één keer, om het te controleren. Voor deze dienst kan Google de gegevens ook verwerken onder zijn eigen privacyvoorwaarden.
• IP-locatiediensten (ipapi.co, country.is, ipwho.is): alleen je IP-adres, één keer opgezocht door de component van Didit wanneer de ID-controle begint, om het land van je document alvast te kiezen (punt 5.5).
• OpenStreetMap Foundation (dienst Nominatim, Verenigd Koninkrijk): het adres dat je typt, één keer, zonder je naam of account, om de globale positie te vinden.
• Apple en Google als aanbieders van inloggen (zelfstandige verwerkingsverantwoordelijken): wanneer je inlogt.
• Apple en Google als appstores (zelfstandige verwerkingsverantwoordelijken): wanneer je een abonnement koopt. Ze sturen ons aankoopinformatie (punt 1.5).
• Apple (APNs) en Google (FCM): bezorgen meldingen.
• Kaartaanbieders: Apple Maps (iPhone) en Google Maps (Android) ontvangen het kaartgebied waar je naar kijkt, om de kaart te tekenen. Je adres ontvangen ze niet.
• Onze e-mailprovider (verwerker): host onze mailboxen, waar we je e-mails ontvangen en beantwoorden.
• Onze reservemoderator: een met naam aangewezen persoon die meldingen beoordeelt volgens onze instructies en onder geheimhouding.
• Politie, autoriteiten en rechtbanken: wanneer de wet dat vereist (punt 5.16).

We verkopen geen netwerkgegevens en geven ze niet aan adverteerders. Je kunt de actuele namen van alle aanbieders opvragen via diego@carbetic.app.

5.21 Doorgifte buiten de EU

Netwerkgegevens worden in de EU opgeslagen. Sommige aanbieders of hun moedermaatschappijen zitten buiten de EU:

• Google LLC (VS) kan toegang hebben tot gegevens die Google in de EU opslaat. Google is gecertificeerd onder het EU-VS Data Privacy Framework. Als terugvaloptie gelden standaardcontractbepalingen.
• Apple Inc. (VS): inloggen, meldingen en de App Store, onder het Data Privacy Framework of standaardcontractbepalingen.
• OpenStreetMap Foundation (Verenigd Koninkrijk): de EU heeft besloten dat het Verenigd Koninkrijk een passend beschermingsniveau biedt.
• Didit verwerkt de gegevens in de EU.
• Resend (Plus Five Five, Inc., VS) verstuurt onze inlog-e-mails vanuit zijn EU-regio. Resend is gecertificeerd onder het EU-VS Data Privacy Framework. Als terugvaloptie gelden standaardcontractbepalingen.
• De IP-locatiediensten uit punt 5.5 kunnen buiten de EU zitten. Ze ontvangen alleen je IP-adres, één keer, wanneer de ID-controle begint.

5.22 Hoelang we netwerkgegevens bewaren

Op je apparaat bewaart de app een cache van profiel- en berichtfoto’s. Die wordt verwijderd samen met het gesprek, wanneer je het netwerk verlaat en wanneer je je netwerkaccount verwijdert.

5.23 Vertrekken, verwijderen en je andere rechten

Je hebt alle rechten die in punt 11 worden beschreven. Voor het netwerk:

• Netwerk verlaten: verbergt je profielen en sluit je gesprekken. Beide kanten kunnen ze nog lezen. Je account, verificatie en favorieten blijven bestaan en je kunt terugkomen.
• Profiel en account verwijderen (tabblad Profiel, Account): verwijdert je profielen en foto’s, je adresgegevens, je favorieten, je blokkades, reviews over jou, je verificatieuitkomst, je foto’s in berichten, je Carbetic-chat, en je inloggen met Apple, Google of e-mail samen met je e-mailadres (bij Apple trekken we ook de toegang van Carbetic tot je Apple ID in). Je gegevens voor het tellen van koolhydraten en je abonnement blijven bestaan. Wat we bewaren, en hoelang, staat in de tabel in punt 5.22. Wie heeft ingelogd maar de Netwerkvoorwaarden nooit heeft geaccepteerd, kan dat inloggen op dezelfde plek verwijderen.
• Je gegevens voor het tellen van koolhydraten: “Mijn gegevens verwijderen” in de instellingen van de koolhydratenteller in de Carbetic-app (Algemeen, Gegevens & privacy) verwijdert je scangeschiedenis en maaltijdfoto’s op je telefoon, zet het delen van gegevens uit en vraagt ons de Carbetic-gegevens die we voor je bewaren te verwijderen, wat we binnen 30 dagen doen. Aankoopgegevens worden bewaard zoals beschreven in punt 9, bestellingen in de winkel zolang de wet dat vereist.
• “Voormalig lid”: nadat je je netwerkaccount hebt verwijderd, houden de mensen aan wie je hebt geschreven de tekstberichten die je hebt gestuurd tot ze verlopen (24 maanden na verzending), getoond als “Voormalig lid” zonder je naam of foto. Dit is gepseudonimiseerd, niet anoniem: de andere persoon weet wie schreef. We bewaren ze omdat het gesprek ook van hen is, en voor de veiligheid (art. 6(1)(f)).
• Zonder de app: gebruik carbetic.app/delete-account of mail diego@carbetic.app vanaf het e-mailadres waarmee je inlogt. Verwijderen zegt een abonnement niet op. Zeg het op in de App Store of Google Play.
• Inzage en kopie: schrijf naar diego@carbetic.app vanaf het e-mailadres waarmee je inlogt, of geef ons je account-ID door (Profiel, Account). We sturen je je netwerkgegevens, waaronder je profiel, favorieten, de berichten die je hebt gestuurd, je Carbetic-chat, reviews door en over jou, toestemmingen en meldingen, binnen een maand als machineleesbaar bestand.
• Correctie: bewerk je profiel in de app. Na de ID-controle komt je naam uit je identiteitsbewijs en corrigeer je die door opnieuw te verifiëren.
• Toestemming intrekken: gezondheidsinformatie in de app-instellingen, de toestemming voor de ID-controle zoals beschreven in punt 5.5.
• Bezwaar: je kunt bezwaar maken tegen verwerking op basis van ons gerechtvaardigd belang door ons te schrijven. We stoppen, tenzij we dwingende redenen hebben, bijvoorbeeld de bescherming van kinderen.
• Menselijke beoordeling van geautomatiseerde besluiten: punt 5.17.

5.24 Wat we nooit doen met netwerkgegevens

• Geen reclame, geen advertentietracking en geen verkoop van gegevens.
• Geen gebruik om AI-modellen te trainen, en geen gebruik in “Help Carbetic verbeteren” (punt 3).
• Geen enkele inhoud of activiteit in het netwerk (profielen, zoekopdrachten, berichten, reviews, locatie of gezondheidsgegevens) gaat naar analyse-, attributie- of marketingdiensten.
• Geen doorsturen van koolhydratenlogboeken, glucosegegevens of Carbetic Follow-gegevens van een kind naar babysitters.
• Geen gebruik van de locatie van je apparaat, behalve het afgeronde punt voor een zoekopdracht rond je huidige locatie, als je dat kiest (punt 1.4).

6. Waarom we je gegevens gebruiken, en onze grondslagen

Waar we ons op toestemming baseren, kun je die op elk moment intrekken, zonder dat dit de rechtmatigheid van de verwerking vóór de intrekking aantast. Waar we ons op gerechtvaardigde belangen baseren, kun je bezwaar maken (punt 11).

7. Met wie we gegevens delen

We delen gegevens alleen met dienstverleners (“verwerkers”) die gegevens namens ons en onder contract verwerken, en, als je de optionele instelling “Help Carbetic verbeteren” aanzet (punt 3), met de partners die ons helpen bij de doelen die daar worden beschreven. De ontvangers vallen in de volgende categorieën:

• Aanbieders van cloudhosting, database en authenticatie bewaren je anonieme accountregistratie en appgegevens.
• AI-verwerkingspartners analyseren je maaltijdinvoer om schattingen te maken (punt 2).
• Aanbieders van analyse en crashdiagnostiek helpen ons het gebruik te begrijpen en problemen op te lossen.
• Aanbieder van pushmeldingen bezorgt meldingen als je daarvoor kiest.
• Aanbieder van marketingmeting / attributie meet de prestaties van advertenties als je via een advertentie kwam.
• Appstores en betalingsaanbieders verwerken je abonnement en bevestigen aankopen aan onze server (punt 1.5).
• Mensen die je kiest (Carbetic Follow): als je verbinding maakt met een volgcode, ziet de ontvanger die je hebt gekozen de gegevens die in punt 4 worden beschreven. Dit gebeurt op jouw aanwijzing en is nooit delen voor reclame.
• Apple Health en Health Connect: als je dit aanzet, schrijft de app je maaltijden in de gezondheidsapp op je eigen telefoon (punt 1.6). Wij ontvangen deze gegevens niet en geven ze niet door.
• T1D Babysitting: andere gebruikers zien wat je in het netwerk publiceert, zoals beschreven in punt 5.6. We gebruiken Didit voor ID-controles, Resend om inlog-e-mails te versturen, Google voor hosting, inloglinks per e-mail (als reserve), meldingen, adrescontroles en de automatische fotocontrole, OpenStreetMap Nominatim om adressen op de kaart te plaatsen, Apple en Google voor inloggen en kaarten, en een e-mailprovider voor onze mailboxen. Details staan in punt 5.20.

We kunnen gegevens ook bekendmaken als de wet dat vereist, om onze rechten of de veiligheid van gebruikers te beschermen, of in verband met een bedrijfsoverdracht.

Je kunt op elk moment de actuele lijst van de specifieke aanbieders bij naam opvragen die we gebruiken, door te mailen naar diego@carbetic.app.

8. Internationale doorgifte van gegevens

Sommige van onze aanbieders verwerken gegevens in landen buiten het jouwe, waaronder de Verenigde Staten. Waar we persoonsgegevens buiten de EER/het VK doorgeven, vertrouwen we op passende waarborgen, zoals de EU-standaardcontractbepalingen, het VK-addendum of een adequaatheidsbesluit / certificering onder het Data Privacy Framework. Je kunt een kopie van de relevante waarborgen opvragen via diego@carbetic.app. Voor T1D Babysitting, zie punt 5.21.

9. Hoelang we gegevens bewaren

• Maaltijdinvoer die voor analyse is verstuurd: niet door ons bewaard. Kort na de verwerking verwijderd door onze AI-partners (meestal binnen ongeveer 30 dagen).
• Maaltijdgeschiedenis en foto’s op je apparaat: opgeslagen op je apparaat tot je ze verwijdert of de app verwijdert.
• Gegevens voor “Help Carbetic verbeteren” (als je je aanmeldt): het identificeerbare deel (je maaltijdfoto’s) wordt tot 36 maanden bewaard, of tot je je toestemming intrekt of ons vraagt het te verwijderen, wat zich het eerst voordoet. Het geanonimiseerde deel (koolhydraat-/voedingswaarden onder een willekeurige code, zonder foto en zonder identificatiecode) mag onbeperkt worden bewaard voor statistieken en modelverbetering.
• Account-, aandoening- en toegangsgegevens: tot je ons vraagt ze te verwijderen, of je account lange tijd inactief wordt.
• Aankoopgegevens (punt 1.5): zolang het abonnement actief is, en tot 400 dagen nadat het is beëindigd.
• Analyse en diagnostiek: meestal tot 14 maanden.
• Linkregistratie van een Android-installatie (punt 13.1): zolang je accountgegevens bestaan, of tot je bezwaar maakt of ons vraagt het te verwijderen. De klikaantallen per link bevatten geen persoonsgegevens en mogen onbeperkt worden bewaard.
• Gedeelde gegevens van Carbetic Follow: tot jij of de ontvanger de verbinding beëindigt (direct verwijderd) of je ons vraagt ze te verwijderen. Vastleggingen van toestemming worden bewaard als bewijs van toestemming.
• Gegevens van klinisch onderzoek: tot het onderzoek eindigt of je je terugtrekt.
• Maaltijden die aan Apple Health of Health Connect zijn toegevoegd (punt 1.6): daar bewaard, niet door ons, tot je ze daar verwijdert. De lijst van de app met wat ze heeft toegevoegd, blijft op je telefoon staan en wordt samen met de app verwijderd.
• T1D Babysitting: zie de tabel in punt 5.22.

10. Hoe we je gegevens beschermen

We gebruiken versleuteling tijdens het transport (SSL/TLS), pseudonimisering van trainingsgegevens, standaard anonieme accounts, toegangscontroles en gerenommeerde infrastructuuraanbieders. Geen enkel systeem is volkomen veilig, maar we nemen redelijke maatregelen die passen bij de gevoeligheid van de gegevens.

T1D Babysitting: netwerkgegevens worden tijdens het transport en bij opslag versleuteld. Berichten zijn niet end-to-end versleuteld. Profielen en foto’s worden alleen aangeboden via onze server en via links die verlopen. Het aantal profielen dat kan worden geopend, is beperkt om kopiëren te voorkomen. Exacte adressen en ID-beelden worden nooit opgeslagen, en ID-vingerafdrukken en adrescodes worden met geheime sleutels berekend. De mensen die modereren, gebruiken speciale medewerkersaccounts die zijn beschermd met een passkey of beveiligingssleutel, en elke inzage in gemelde inhoud wordt vastgelegd.

11. Je privacyrechten

Als je je in de EER of het VK bevindt (AVG), heb je het recht om:

• de persoonsgegevens die we over je hebben in te zien;
• onjuiste gegevens te laten corrigeren;
• je gegevens te laten verwijderen (“recht op vergetelheid”);
• de verwerking te laten beperken of er bezwaar tegen te maken;
• gegevensoverdraagbaarheid;
• je toestemming op elk moment in te trekken (ook de instelling “Help Carbetic verbeteren” en de toestemmingen in T1D Babysitting, punt 5.23), en
• een klacht in te dienen bij je lokale toezichthouder voor gegevensbescherming. Omdat wij in Oostenrijk zijn gevestigd, is de bevoegde autoriteit de Oostenrijkse gegevensbeschermingsautoriteit (Datenschutzbehörde), Barichgasse 40–42, 1030 Wenen, dsb.gv.at. Je kunt ook een klacht indienen bij de autoriteit van de plaats waar je woont of werkt.

Moet je ons je gegevens geven? Nee. Om Carbetic te gebruiken heb je alleen de maaltijdinvoer nodig die je zelf kiest in te dienen. Alles wat in punt 1 als optioneel is gemarkeerd, is echt optioneel, en als je het weigert, kost je dat niets behalve de functie die ermee werkt. T1D Babysitting is ook optioneel: om een profiel te publiceren heb je inloggen, een adres, je voor- en achternaam en je geboortemaand en geboortejaar nodig, en om berichten te sturen ook een ID-controle. Gezondheidsinformatie en foto’s in berichten blijven optioneel. Bij de formulieren op onze website zijn de velden die als verplicht zijn gemarkeerd nodig om je te kunnen antwoorden.

Geautomatiseerde besluitvorming. Koolhydratenschattingen worden automatisch door AI gemaakt, maar het zijn alleen schattingen voor eigen gebruik en geen besluit over jou. In T1D Babysitting worden sommige besluiten automatisch genomen, bijvoorbeeld de uitkomst van de ID-controle. Punt 5.17 legt ze uit, en ook je recht op een menselijke beoordeling. Verder nemen we geen besluit over jou dat rechtsgevolgen heeft of je op vergelijkbare wijze significant treft (art. 22 AVG), en we profileren je niet voor zulke besluiten. Carbetic is geen medisch hulpmiddel en mag niet worden gebruikt als basis voor behandelbeslissingen.

Als je je in Californië bevindt (CCPA/CPRA), heb je het recht om: je persoonlijke informatie te kennen, in te zien, te corrigeren en te verwijderen, je af te melden voor het “delen” van persoonlijke informatie, het gebruik van gevoelige persoonlijke informatie te beperken, en niet te worden gediscrimineerd voor het uitoefenen van deze rechten. De enige persoonlijke informatie die we delen (zoals de CCPA dat begrip definieert) zijn de optionele gegevens voor “Help Carbetic verbeteren”, die standaard uit staan. Als je die schakelaar uitzet (of uit laat staan), meld je je ervoor af. Gegevens die je deelt via Carbetic Follow worden op jouw aanwijzing bekendgemaakt aan de ontvanger die je kiest en zijn geen “delen” voor contextoverschrijdende gedragsreclame. Maaltijden die de app aan Apple Health of Health Connect toevoegt, worden op je telefoon geschreven en bereiken ons nooit, dus ze worden niet verkocht en ook niet gedeeld.

12. Hoe je je rechten uitoefent (en een opmerking over anonieme accounts)

Om een verzoek te doen, mail je naar diego@carbetic.app, of gebruik je de bediening Instellingen → Privacy in de app om je toestemming te wijzigen of je gegevens te verwijderen. In T1D Babysitting staat de bediening op het tabblad Profiel.

De meeste Carbetic-accounts zijn anoniem: er is geen login en we weten niet wie je bent. We identificeren je gegevens normaal gesproken aan de hand van het anonieme ID op je apparaat. Om een verzoek te kunnen uitvoeren, kunnen we vragen dat je het vanuit de app doet (of je ID in de app doorgeeft), zodat we de juiste gegevens kunnen vinden. Dit betekent ook dat als je de app verwijdert, de gegevens die alleen op je apparaat staan weg zijn en door ons niet kunnen worden hersteld.

Als je T1D Babysitting met inloggen gebruikt, schrijf dan vanaf het e-mailadres waarmee je inlogt. Als je “Verberg mijn e-mailadres” van Apple gebruikt, geef ons dan dat doorstuuradres of je account-ID door (Profiel, Account).

13. Tracking en reclame

13.1 Onze eigen links

We delen zelf links naar de app, bijvoorbeeld in ons Instagram-profiel: carbetic.app/install, of carbetic.app/install/ gevolgd door een korte naam voor de plek waar de link is geplaatst. We tellen hoeveel installaties, gratis proefperiodes en betaalde abonnementen elke link oplevert, zodat we weten welke links werken. Dat doen we zelf, zonder reclame- of attributiebedrijf, zonder cookies en zonder het advertentie-ID van je apparaat.

• Android: Google Play vertelt de app via welke van onze links je kwam: de naam van de link, en wanneer de link werd geopend en de installatie begon. Bij de eerste start stuurt de app dit één keer naar onze server, samen met het anonieme ID van je installatie, je anonieme account-ID en de appversie. Als je daarna een abonnement start, stuurt de app de aankoopreferentie die Google Play haar gaf, en vraagt onze server Google Play om de status van dat abonnement (gratis proefperiode, betaald, opgezegd of beëindigd) en het soort abonnement. We vragen het regelmatig opnieuw, zodat de tellingen actueel blijven. Een abonnement dat je al had voordat je de link opende, telt niet mee voor de link. Als je niet via een van onze links kwam, stuurt de app hiervoor niets.
• iPhone en iPad: de app doet hiervoor niets. Apple telt downloads, gratis proefperiodes en abonnementen per link in zijn App Store-analyse en geeft ons alleen totalen per link, waarbij groepen kleiner dan vijf mensen worden weggelaten. We ontvangen niets over jou persoonlijk.
• We bekijken deze cijfers alleen als totalen per link. We gebruiken ze niet om jou reclame te tonen, geven ze niet door en combineren ze niet met je maaltijden, foto’s of aandoening.
• Grondslag: ons gerechtvaardigd belang bij weten welke van onze eigen links werken (art. 6(1)(f) AVG). Je kunt op elk moment bezwaar maken door te mailen naar diego@carbetic.app. We verwijderen dan de linkregistratie van je installatie.

Wat er gebeurt als je een van deze links in je browser opent, wordt beschreven in punt 14.6.

13.2 Advertenties

Als je Carbetic via een advertentie hebt geïnstalleerd, gebruiken we een dienst voor marketingmeting / attributie om de installatie en belangrijke gebeurtenissen (zoals het starten van een proefperiode) te bevestigen, zodat we onze reclame kunnen meten en verbeteren. Op iOS gebruiken we de advertentie-ID niet en tonen we het trackingverzoek van Apple niet. Voor het meten van installaties gebruiken we SKAdNetwork van Apple, dat installaties via een advertentie alleen als totalen meldt. We gebruiken je gezondheidsgerelateerde gegevens, maaltijdfoto’s of aandoening niet voor reclame.

13.3 T1D Babysitting

Gegevens van T1D Babysitting worden nooit gebruikt voor reclame of tracking en gaan nooit naar analyse-, attributie- of marketingdiensten. De app “T1D Babysitting by Carbetic” bevat geen reclame- of attributietools. Het enige gebruikscijfer voor het netwerk is het maandtotaal dat in punt 5.10 wordt beschreven.

14. De website carbetic.app

Alles hierboven beschrijft de apps. Dit punt beschrijft de website, een apart systeem met een eigen, veel kleinere set gegevens.

14.1 Geen tracking, geen reclamecookies

De website bevat geen analyse-, reclame- of trackingscripts en plaatst geen trackingcookies. Je browser bewaart twee puur technische waarden op je eigen apparaat: de taal die je hebt gekozen en, nadat je het formulier voor zorgverleners hebt verstuurd, een notitie dat je het al hebt verstuurd, zodat je het formulier niet twee keer te zien krijgt. Geen van beide wordt als identificatie naar ons verstuurd en je kunt ze allebei op elk moment in je browser wissen. Omdat deze opslag strikt noodzakelijk is voor functies waar je om hebt gevraagd, is er geen cookiebanner nodig.

14.2 Serverlogboeken

Onze hostingprovider legt standaard logboekgegevens vast wanneer een pagina wordt opgevraagd: IP-adres, datum en tijd, de opgevraagde pagina, de verwijzende pagina, en de tekenreeks van je browser en besturingssysteem. Dit is nodig om de site te leveren en om aanvallen op te sporen en af te weren (art. 6(1)(f), ons gerechtvaardigd belang bij een goed werkende en veilige website). Deze logboeken worden slechts kort bewaard en niet gebruikt om een profiel van je op te bouwen.

14.3 Formulieren op de website

De website heeft een klein aantal formulieren. Gegevens die je invult, worden opgeslagen op ons hostingaccount buiten de openbaar toegankelijke webmap en ook per e-mail naar ons gestuurd. In elk geval bewaren we je IP-adres en het tijdstip van verzending kort om misbruik en spam te beperken (art. 6(1)(f)).

• Formulier voor zorgverleners (/doc): aanhef, naam, kliniek of praktijk, postadres, e-mailadres, telefoon, je bericht, en welk vervolg je hebt gevraagd (telefoontje, bezoek, patiëntenmateriaal). We gebruiken dit om je vraag te beantwoorden, het materiaal te sturen dat je hebt gevraagd en het vervolg te regelen waar je om hebt gevraagd (art. 6(1)(b), stappen op je verzoek, en art. 6(1)(f)). We bewaren het zolang het professionele contact loopt en daarna nog een redelijke periode voor opvolging.
• Sollicitaties (/jobs en /apply): naam, e-mailadres, optioneel telefoon, Instagram-naam, wat je nu doet, hoeveel uur per week je zou kunnen bijdragen, een link naar je werk en elk bestand dat je uploadt. We gebruiken dit uitsluitend om je sollicitatie te beoordelen (art. 6(1)(b), stappen voorafgaand aan een overeenkomst). Geüploade bestanden worden onder een willekeurige bestandsnaam buiten de openbare webmap opgeslagen en zijn niet bereikbaar vanaf internet. We verwijderen sollicitaties uiterlijk zes maanden nadat de functie is vervuld of de procedure eindigt, tenzij je ermee instemt dat we de jouwe in ons bestand houden.
• Afzonderlijke landingspagina’s die met partners worden onderhouden, kunnen een eenvoudig contactformulier hebben. Dat verzamelt alleen wat het formulier toont, wordt alleen gebruikt om je te antwoorden en volgt dezelfde regels.

Het geven van deze gegevens is vrijwillig. Zonder minstens een naam en een e-mailadres kunnen we niet antwoorden. Je gegevens worden niet voor reclame gebruikt en niet doorgegeven voor de doelen van anderen.

14.4 Betalen op de website

Als je je via de website abonneert in plaats van via een appstore, wordt de betaling afgehandeld door Stripe. Je kaartgegevens gaan rechtstreeks naar Stripe en wij ontvangen nooit het volledige kaartnummer. Stripe verwerkt betalingsgegevens als zelfstandige verwerkingsverantwoordelijke onder zijn eigen privacybeleid op stripe.com/privacy. Wij ontvangen alleen de betalingsstatus en de gegevens die we nodig hebben voor onze administratie en belastingverplichtingen (art. 6(1)(b) en art. 6(1)(c)).

14.5 E-mail

Als je ons schrijft, bijvoorbeeld naar diego@carbetic.app, safety@carbetic.app of legal@carbetic.app, worden je bericht en adres opgeslagen in onze mailbox bij onze e-mailprovider, zodat we kunnen antwoorden en de correspondentie kunnen bewaren (art. 6(1)(b) en art. 6(1)(f)). Berichten aan safety@carbetic.app over T1D Babysitting worden afgehandeld zoals beschreven in punt 5.16.

14.6 Een van onze applinks openen

Als je een van onze applinks opent (punt 13.1), leest onze server op dat moment de user-agent-tekenreeks van je browser alleen om te bepalen waarheen we je sturen: de App Store, Google Play of een pagina met beide. Hij telt er één bij op een teller voor die link en die soort apparaat (iPhone, Android, overig of linkvoorbeeld). We slaan hiervoor niet je IP-adres, je browsertekenreeks of enige identificatiecode op en we plaatsen geen cookie. De winkellink waarnaar we je sturen, bevat alleen de naam van de link. Onze hostingprovider (punt 14.2) en onze cloudprovider bewaren hun standaard verzoeklogboeken, die het IP-adres en de browsertekenreeks bevatten. Onze cloudprovider verwijdert ze na 30 dagen. Grondslag: art. 6(1)(f), ons gerechtvaardigd belang bij het naar de juiste winkel sturen van je en weten welke links werken.

15. Kinderen

Als je jonger bent dan 16, mag je de koolhydratenteller in de Carbetic-app alleen gebruiken met toestemming van een ouder of voogd (Gebruiksvoorwaarden, punt 4.1). Een Google Family Link-account, dat een ouder instelt, geldt als die toestemming. Waar de koolhydratenteller op toestemming berust, bijvoorbeeld voor de aandoening die je ons tijdens de installatie kunt vertellen (punt 1.3), geeft een ouder of voogd die toestemming voor een kind jonger dan 16 of stemt ermee in (art. 8 AVG). T1D Babysitting is niet bedoeld voor mensen jonger dan 16, in beide apps (zie hieronder). Als je denkt dat een kind jonger dan 16 onze apps gebruikt zonder toestemming van een ouder of voogd, neem dan contact op met diego@carbetic.app, dan verwijderen we de gegevens van het kind.

In T1D Babysitting moeten gezinnen 18 jaar of ouder zijn. Babysitters moeten 16 jaar of ouder zijn, en babysitters van 16 of 17 bevestigen dat een ouder of wettelijk voogd ermee akkoord gaat (punt 5.8). We controleren de leeftijd met de opgegeven geboortemaand en het geboortejaar, en de ID-controle bevestigt die. Kinderen van gezinnen zijn nooit lid van het netwerk. Ouders beschrijven hen alleen met de gegevens in punt 5.6 en 5.7, nooit met namen, verjaardagen of scholen. Ouders mogen gezinsfoto’s toevoegen waarop hun kinderen te zien zijn. Net als het hele gezinsprofiel zijn die zichtbaar voor iedereen die in T1D Babysitting een profiel heeft gepubliceerd (punt 5.6). Om een zorg over de veiligheid van een kind te melden, schrijf je naar safety@carbetic.app. Bel in een noodgeval het lokale alarmnummer.

16. Wijzigingen in dit beleid

We kunnen dit beleid van tijd tot tijd bijwerken. Als we ingrijpende wijzigingen doorvoeren, bijvoorbeeld in hoe we gegevens gebruiken om onze AI te verbeteren of in T1D Babysitting, passen we de datum hierboven aan en laten we het je in de app weten. Waar de wet dat vereist, vragen we je opnieuw om toestemming.

17. Contact

Diego Szekely (Carbetic)
Hochbergstraße 4, 2380 Perchtoldsdorf, Oostenrijk
diego@carbetic.app (privacyverzoeken en al het andere)

T1D Babysitting: veiligheidsvragen, meldingen, kinderveiligheid en bezwaren tegen moderatiebesluiten: safety@carbetic.app. Autoriteiten, inclusief bevelen op grond van de digitaledienstenverordening (DSA): legal@carbetic.app. Beide in het Duits en Engels.

Als je in de EU/EER of het VK woont, heb je ook het recht om contact op te nemen met je lokale toezichthouder voor gegevensbescherming.