Privacyverklaring

Food Moments schat de voedingswaarde van uw maaltijden op basis van foto's en uw eigen woorden. De app is zo gebouwd dat uw gegevens van u blijven: geen advertenties, geen tracking, geen naam — uw account is niets meer dan uw e-mailadres. Alles wat u vastlegt wordt in dat account opgeslagen, op onze eigen servers in de Europese Unie, met de recente dagen op uw iPhone of iPad; daardoor brengt een nieuw apparaat alles terug — en er horen twee knoppen bij die de gegevens ook praktisch van u houden: één die alles downloadt, één die alles wist. Wat waarheen wordt gestuurd, wordt hieronder precies beschreven — en alles daarvan blijft in de Europese Unie; de AI-analyse en het dicteren beginnen elk pas nadat u daarmee in de app heeft ingestemd, en naar uw maaltijden zelf kijken wij alleen als u ons daartoe uitnodigt (§11).

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke is Smart Backoffice Solutions B.V., Saal van Zwanenbergweg 11, 5026 RM Tilburg, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 90141482. Contact: info@smart-backoffice.nl.

2. Wat de app verwerkt — en waar het blijft

In uw account opgeslagen, op onze servers in de Europese Unie:

• Uw maaltijdfoto's, notities, correcties en de bewerkingsgeschiedenis
• De voedingswaardeschattingen, de eigen aantekeningen van het model over hoe het daartoe kwam, en uw tijdlijn
• Uw voedingsprofiel (geboortejaar, geslacht, gewicht, lengte, activiteit, caloriedoel)
• Uw dagdoelen, dag voor dag — voor dagen op basis van Apple Health inclusief het aantal verbruikte calorieën waaruit het doel is berekend (zie hieronder)
• Uw achtergrondfoto's voor de tijdlijn, als u eigen foto's heeft gekozen
• Welke van uw maaltijdfoto's en gescande producten u als favoriet heeft gemarkeerd, zodat ze vooraan staan wanneer u ze opnieuw gebruikt
• Uw app-instellingen: de weergave, wanneer uw dag begint, of uw activiteitsgegevens uit Apple Health komen, en hoe u graag eet — de niveaus voor eiwit, vezels, groente en fruit, vrije suikers, vet en zout die u voor uw dagdoelen heeft gekozen
• Maten die u de app zelf heeft verteld — hoe breed uw dinerbord is, wat een snee van uw brood weegt — bewaard zodat de app ze niet opnieuw hoeft te schatten
• De maatmeting van elke foto die uw iPhone of iPad kon opmeten (zie hieronder), samen met technische gegevens over hoe die tot stand kwam — hoe stabiel het apparaat de omgeving volgde, welk oppervlak het vond en hoe zeker het daarvan was; en — sinds 24 september 2026 — voor enkele honderden punten binnen het beeld hoe ver elk van de camera verwijderd was, zodat de grootte van wat u fotografeerde later ook kan worden afgelezen als het in uw hand lag en niet op een tafel. Niets buiten het beeld wordt bewaard
• Een registratie van elk analyse- en dictaatverzoek voor fair use: wanneer het werd gedaan, van welk soort het was, welk AI-model antwoordde, hoe lang het duurde, hoeveel gegevens en rekenkracht het gebruikte, bij welke maaltijd het hoorde en of het slaagde, en zo niet, een korte code voor de reden (zoals „time-out") — nooit de inhoud ervan (§3)
• Of u Help Food Moments verbeteren heeft aangezet, en sinds wanneer (§11), en of u af en toe vragen per e-mail heeft uitgezet (§12)
• Uw abonnement, zoals Apple het doorgeeft (zie hieronder)
• De dag waarop u de app voor het laatst met uw account gebruikte, zodat een account dat niemand meer gebruikt kan worden verwijderd (§6)

Deze opslag draait op Microsoft Azure in West-Europa (§4). Uw iPhone of iPad houdt ongeveer de laatste twee weken bij de hand en haalt oudere dagen op wanneer u ernaartoe terugscrolt; aanmelden op een nieuw apparaat herstelt alles. Het verwijderen van de app verwijdert uw gegevens daarom niet meer — het verwijderen van uw account wél, volledig en direct in de app (§6, §8).

Uw account is bewust minimaal: uw e-mailadres, en verder niets — geen naam, geen wachtwoord. U meldt zich aan met een eenmalige zescijferige code die wij u mailen; elke iPhone of iPad waarop u zich aanmeldt krijgt een eigen sessie, die eindigt zodra u zich afmeldt. Rechtsgrondslag voor het account en voor het opslaan van uw maaltijdgegevens daarin: de uitvoering van onze overeenkomst met u (art. 6 lid 1 sub b AVG) — deze opslag is de dienst — en, omdat maaltijden iets over uw gezondheid kunnen zeggen, uw uitdrukkelijke toestemming, die u geeft wanneer u het account aanmaakt (art. 9 lid 2 sub a AVG). Door het account te verwijderen trekt u die toestemming in.

Apple Health, als u „Activiteitsgegevens uit Apple Health" inschakelt: de app leest uw rust- en actieve energie op deze iPhone of iPad om het energiedoel van de dag te bepalen. De metingen blijven in Apple Health — ze worden nooit naar het AI-model gestuurd, nooit voor advertenties gebruikt, en de app schrijft nooit naar Health. Wat uw account bewaart, is het resultaat: het energiedoel van elke dag, samen met het verbruikte aantal calorieën waaruit het is berekend — opgeslagen bij uw dagdoelen, zodat een voorbije dag ook op een nieuw apparaat zijn echte doel houdt.

Uw abonnement. Het abonnement wordt via Apple gekocht en betaald (§4). Zodat de app weet of analyse voor u beschikbaar is, ontvangen wij van Apple — via de app, en rechtstreeks van Apples servers wanneer een abonnement wordt verlengd, afloopt of wordt terugbetaald — en bewaren wij bij uw account: de transactienummers van het abonnement, het product, of het een echte of een testaankoop was, wanneer de lopende periode afloopt, wanneer Apple de gegevens heeft ondertekend, of het is terugbetaald of ingetrokken, een eventuele respijtperiode na een mislukte betaling, of de periode de gratis proefperiode is, en wanneer wij het voor het laatst bijwerkten. Wij ontvangen geen betaalgegevens — geen kaart, geen bankrekening, geen factuuradres — en geen Apple ID. Grondslag: de uitvoering van onze overeenkomst met u (art. 6 lid 1 sub b AVG). Deze gegevens worden samen met uw account verwijderd; Apple houdt een eigen registratie van de aankoop bij onder eigen voorwaarden.

Wanneer u de app voor het laatst gebruikte. Wanneer de app met onze server praat terwijl u bent aangemeld, noteert de server de dag — hoogstens één keer per dag — bij uw account. Wat u deed, legt hij niet vast. Zo kunnen wij een account dat 18 maanden door niemand is gebruikt en geen lopend abonnement heeft verwijderen (§6) in plaats van het voor altijd te bewaren. Grondslag: ons gerechtvaardigd belang om gegevens niet langer te bewaren dan ze worden gebruikt (art. 6 lid 1 sub f AVG).

Daarnaast hebben wij een gateway waar elk analyse- en dictaatverzoek doorheen gaat, beschreven in §3. Die bewaart niets van uw maaltijdinhoud — foto's, notities en opnamen gaan er doorheen en zijn weg zodra het antwoord terugkomt. Wat hij wél bewaart, zijn een technisch kenmerk van uw apparaat en een registratie van elk verzoek voor fair use, beide toegelicht in §3.

Verzonden voor een maaltijdanalyse (alleen met uw toestemming, zie §3):

• De foto's van de maaltijd die wordt geanalyseerd
• Uw notitie en latere correcties bij die maaltijd
• In de foto's herkende tekst van voedingsetiketten en barcode-productinformatie
• Uw maaltijden van de afgelopen twee weken in verkorte vorm — hooguit 30, elk met tijdstip, titel en gerechten met hun porties en calorieën — zodat porties over de dagen consistent blijven; en de datum, het tijdstip en de taal van de maaltijd die wordt geanalyseerd
• Eenmalig, voor elk van uw maaltijden van de afgelopen twee weken die vóór 19 september 2026 is geanalyseerd: de titel en de gerechten met hun porties, suikers en gewicht in verkorte vorm, zodat de app vrije suikers en groente en fruit kan toevoegen zonder de maaltijd opnieuw te analyseren
• Bij een maaltijd die alleen uit gescande producten bestaat: hun namen, verpakkingsgroottes en de waarden per 100 g uit de productdatabank, even na het scannen, zodat de app de vitaminen en mineralen kan aanvullen die productdatabanken zelden vermelden — zonder foto
• Eenmalig na de update van 29 september 2026: elke maaltijd op uw iPhone of iPad — ongeveer de afgelopen twee weken, oudere dagen zodra u ernaar terugscrolt — wordt opnieuw geanalyseerd zoals hier beschreven, zodat ook die vitaminen en mineralen heeft. Uw apparaat geeft deze verzoeken aan onze gateway, die ze uitvoert terwijl de app gesloten is — met de foto's die al in uw account staan — en elk antwoord alleen bewaart tot uw apparaat het ophaalt, en het daarna verwijdert; als u uw account verwijdert, worden wachtende verzoeken en antwoorden mee verwijderd
• De maten die u de app heeft verteld (zie boven), zodat porties worden afgemeten aan uw eigen servies in plaats van aan gemiddeld servies
• Een maatmeting van elke foto, voor zover uw iPhone of iPad die kon maken: hoeveel centimeter het beeld beslaat op het oppervlak waarop het eten staat, van welke afstand en onder welke hoek de camera werd gehouden, en hoe groot de vormen op dat oppervlak zijn. Uw apparaat bepaalt dit zelf terwijl u het beeld uitlijnt, uit de kleine bewegingen van uw hand — of, als u wilt, de kleine beweging rond uw eten waartoe de zoeker uitnodigt — en — bij modellen die er een hebben — de dieptesensor. Er worden geen extra beelden gemaakt en er wordt niets buiten het beeld in kaart gebracht of bewaard; de dieptewaarden die de app voor punten binnen het beeld bewaart, staan hierboven bij de opgeslagen gegevens. Telkens wanneer hij een oppervlak vond, stuurt de app ook een kopie van die foto mee met een centimeterraster op het oppervlak getekend, samen met hoe betrouwbaar die meting is, zodat het model er maten van kan aflezen of ze terzijde kan laten. Foto's uit uw bibliotheek bevatten geen meting; een maaltijd die iemand met u deelt, behoudt de meting die zijn of haar apparaat heeft gemaakt

Verzonden bij het dicteren van een notitie (alleen met uw toestemming, zie §3):

• De audio-opname van uw dictaat, om in tekst te worden omgezet, samen met de laatste paar zinnen van de notitie tot dan toe — getypt of gedicteerd — zodat woorden en namen consistent blijven. Net als een maaltijdanalyse wordt die verwerkt op onze eigen Azure-implementatie in de Europese Unie (§3)

Alleen op uw iPhone of iPad bewaard, zolang iets nog niet af is:

• Een begonnen maaltijd die nog niet is geanalyseerd — de foto's, gescande barcodes en getypte notitie —, zodat het opnamescherm weer opent waar u was gebleven als de app wordt gesloten, vastloopt of door het systeem wordt beëindigd; hetzelfde geldt voor een begonnen correctie op een maaltijd die nog niet is toegepast. Die blijft tot u op Analyseer of Toepassen tikt — dan wordt zij uw maaltijd of uw correctie en zoals hierboven beschreven in uw account opgeslagen — of op Annuleer, dan wordt zij verwijderd. Zij wordt ook verwijderd als u uitlogt of uw account verwijdert, en niets ervan wordt voor analyse verzonden voordat u op Analyseer of Toepassen tikt
• De opname van een dictaat, vanaf het moment dat die af is — als u de microfoonknop loslaat, of ongeveer elke minuut bij een lange notitie — tot de tekst ervan is binnengekomen, normaal gesproken na een seconde of twee; daarna wordt zij verwijderd. Kan zij nog niet worden verzonden, omdat er geen netwerk is of de dienst niet bereikbaar is, dan wacht zij op uw apparaat en wordt zij automatisch verzonden zodra de verbinding terug is of u de app opnieuw opent; uw notitie vult zich dan vanzelf aan. Een wachtende opname wordt ook verwijderd als u de maaltijd of correctie waar zij bij hoort annuleert, uitlogt of uw account verwijdert, en zij wordt nooit verzonden zonder uw toestemming voor dicteren

Beide staan in de eigen opslag van de app op uw iPhone of iPad, beschermd door de versleuteling van het systeem en uitgesloten van back-ups van het apparaat; geen van beide wordt ooit naar uw account geüpload.

Verzonden wanneer u een barcode scant of er een op een foto wordt herkend:

• Het barcodenummer, opgezocht in de publieke Open Food Facts-databank (§4). De naam, verpakkingsgrootte, voedingswaarden en foto van het product komen terug naar uw iPhone of iPad en worden daar bewaard; de foto wordt nooit naar ons geüpload, nooit ter analyse verzonden en reist nooit mee in een gedeelde maaltijd — uw apparaat haalt zijn eigen kopie op bij Open Food Facts. Rechtsgrondslag: ons gerechtvaardigd belang om de schatting te baseren op de eigen gedrukte waarden van het product (art. 6 lid 1 sub f AVG); het opzoeken gebeurt pas nadat u met de maaltijdanalyse heeft ingestemd

Automatisch verzonden als de app crasht, vastloopt of te veel processorkracht of opslag gebruikt:

• Een technisch diagnoserapport van Apples eigen on-device crashdetectie (MetricKit) — welk type storing er optrad, welk onderdeel van de app erbij betrokken was, uw iPhone- of iPad-model en iOS- of iPadOS-versie, en de app-versie, zodat wij het probleem kunnen vinden en verhelpen. Het bevat geen van uw foto's, notities of getypte tekst, en wordt bij deze installatie van de app opgeslagen in plaats van bij uw account. Rechtsgrondslag: ons gerechtvaardigd belang bij een app die werkt (art. 6 lid 1 sub f AVG).

Bekeken om de app beter te laten werken — technische gegevens, nooit wat u at:

• Om te zien waar de app tekortschiet en of een wijziging dat heeft verholpen, kijken wij naar technische gegevens over hoe hij werkte, die al bij uw maaltijden of op onze gateway bewaard worden: per foto of en hoe goed uw iPhone of iPad die kon opmeten (de kwaliteit van de meting, de reden waarom hij niet kon meten, de afstand en de hoek, hoe stabiel het apparaat de omgeving volgde, en of de gevonden oppervlakken met elkaar overeenkwamen); waar een foto vandaan kwam — de camera, uw bibliotheek of een eerdere maaltijd; per analyse welk AI-model antwoordde, hoe lang het duurde, hoeveel rondes nodig waren, hoeveel gegevens het meedroeg en of het slaagde, en zo niet, waarom; en de crashrapporten hierboven. Wij bekijken ze zonder uw foto's, notities, correcties, maaltijdnamen of voedingswaarden, en rapporteren erover alleen in totalen die niet naar u wijzen („de camera kon 44 % van de foto's opmeten"). Hiervoor wordt niets nieuws verzameld: deze gegevens bestaan al, voor de doeleinden die in deze paragraaf zijn beschreven. Rechtsgrondslag: ons gerechtvaardigd belang bij een app die werkt en beter wordt (art. 6 lid 1 sub f AVG). U kunt op elk moment bezwaar maken door te schrijven naar het adres in §1; wij laten uw account dan buiten beschouwing.

Door u gedeeld, rechtstreeks van uw iPhone of iPad naar een andere (er gaat niets via ons):

• Wanneer u een maaltijd deelt met iemand die hem samen met u heeft gegeten, gaat de maaltijd — de foto's en hun maatmetingen, uw notitie, de schatting, de geschiedenis daarvan en de aantekeningen van het model — rechtstreeks van uw apparaat naar de ontvanger die u kiest, via AirDrop, Berichten of welke app u ook kiest. Het gaat niet via onze servers: wij zien het nooit en bewaren er geen kopie van. Een maaltijd die iemand met u deelt, verschijnt in uw tijdlijn en wordt daarna in uw account opgeslagen zoals een maaltijd die u zelf hebt gefotografeerd.

3. Maaltijdanalyse door AI — uw toestemming

Voor een schatting stuurt de app de hierboven genoemde gegevens naar een AI-model (OpenAI GPT) op Microsoft Azure-servers in de Europese Unie, op onze eigen implementatie. Wat de app stuurt, wordt gebruikt om uw voedingswaardeschatting te berekenen — en, alleen als u Help Food Moments verbeteren heeft aangezet, om de app te verbeteren zoals §11 beschrijft. Het wordt niet gebruikt om AI-modellen te trainen. Uw account draagt geen naam, en het AI-model ziet er niets van: wat het model bereikt is de maaltijd, niet wie u bent.

Elk verzoek gaat eerst via onze eigen gateway. Dat is een kleine server die wij op Microsoft Azure in de Europese Unie draaien. Hij bestaat zodat de toegangsgegevens voor de AI-dienst niet in de app zitten, waar iedereen ze uit het gedownloade bestand zou kunnen halen en op onze rekening kosten zou kunnen maken. De gateway controleert of een verzoek werkelijk van een ongewijzigde kopie van Food Moments op een echt Apple-apparaat komt — met Apples App Attest — en of het bij een aangemeld account hoort, zodat de fair-uselimieten per account in plaats van per apparaat worden geteld, en geeft het dan door. Bij een analyse voegt hij uw foto's vanuit de opslag van uw account in het verzoek in; verder leest hij niet wat u stuurt, en bewaart hij er geen kopie van. Voor fair use en kostenbeheersing legt hij per account voor elk verzoek een regel vast: wanneer, van welk soort, welk model, hoe lang het duurde, hoeveel gegevens en rekenkracht het gebruikte, om welke maaltijd het ging en of het slaagde — en als het mislukte, een korte code voor de reden, zoals „time-out", nooit een foutmelding of inhoud. Uw foto's, notities en opnamen komen nooit in deze registraties of in zijn logboeken voor, en de registraties worden samen met uw account verwijderd.

Voor die controle maakt uw iPhone of iPad een cryptografische sleutel die het apparaat nooit verlaat, en de gateway bewaart het kenmerk van die sleutel samen met een teller die voorkomt dat een onderschept verzoek opnieuw wordt afgespeeld. Dat kenmerk is een willekeurige waarde die door deze installatie van de app is aangemaakt: het bevat geen naam, geen e-mailadres en geen serienummer. Zolang u bent aangemeld, koppelt onze administratie het aan de sessie van uw account, en daarom behandelen wij het als persoonsgegeven. Het ontstaat de eerste keer dat de app met onze server contact maakt — wanneer u zich aanmeldt — en door de app te verwijderen wordt het nutteloos. Rechtsgrondslag voor dit ene technische gegeven: ons gerechtvaardigd belang om de dienst tegen misbruik te beschermen (art. 6 lid 1 sub f AVG).

De app vraagt vóór de eerste analyse om uw uitdrukkelijke toestemming (rechtsgrondslag: art. 6 lid 1 sub a AVG, en art. 9 lid 2 sub a AVG omdat maaltijden iets over uw gezondheid kunnen zeggen). U kunt uw toestemming op elk moment intrekken via Instellingen → Privacy; de analyse blijft dan uit totdat u opnieuw instemt — de rest van de app blijft werken.

Voor dicteren geldt een eigen toestemming. Een gesproken notitie wordt door spraakmodellen in tekst omgezet, op onze eigen Microsoft Azure-implementaties in de Europese Unie — Azure Speech in North Europe (Ierland), en, alleen voor app-versies vóór 1.2, Azure OpenAI in Sweden Central — zodat ook een dictaatopname in de Europese Unie wordt verwerkt. (Tot 1 oktober 2026 draaide het dicteren op een wereldwijde implementatie en kon een opname buiten de EU worden verwerkt; dat is niet meer het geval.) De app vraagt vóór uw eerste dictaat (eveneens art. 6 lid 1 sub a AVG) en u kunt die toestemming op dezelfde plek intrekken — dicteren blijft dan uit, en een notitie kunt u altijd typen.

Maaltijdfoto's en notities kunnen terloops iets over u onthullen — een dieet, een allergie, een vastenpraktijk. Wij beperken dat door alleen de te analyseren maaltijd te versturen, de resultaten in uw eigen account te bewaren, waar alleen u erbij kunt, en er niets van op onze gateway op te slaan.

4. Dienstverleners

• Microsoft Ireland Operations Ltd. (Azure) levert de infrastructuur en verwerkt analyseverzoeken en dictaatopnamen als onze verwerker onder Microsofts Data Protection Addendum. Dat geldt voor de AI-implementaties, voor de in §3 beschreven gateway — die op Azure Functions in West-Europa draait, met de apparaatkenmerken en de crashdiagnoses uit §2 in Azure Table Storage in dezelfde regio — en voor de opslag achter uw account (§2): uw maaltijden, foto's en profiel staan in Azure-opslag in West-Europa, binnen de Europese Unie. De e-mails die wij versturen — aanmeldcodes, exportlinks en de andere die in §12 worden beschreven — worden verstuurd via Azure Communication Services, geconfigureerd met datalocatie in de Europese Unie, vanaf noreply@smart-backoffice.nl. Maaltijdanalyse draait in Azures EU Data Zone, en dicteren op Azure Speech in North Europe (Ierland) — app-versies vóór 1.2 op Azure OpenAI in Sweden Central — zodat foto's, notities, correcties en dictaatopnamen in de Europese Unie worden verwerkt. Microsofts misbruikcontrole controleert verzoeken automatisch op het moment van verwerking, zonder ze op te slaan; alleen verzoeken die als mogelijk misbruik zijn gemarkeerd, kunnen volgens Microsofts gepubliceerde standaardprocedure tijdelijk voor beoordeling worden bewaard — bij EU-implementaties opgeslagen en beoordeeld binnen de EU — en worden daarna verwijderd. Microsoft gebruikt uw gegevens niet om modellen te trainen.
• Open Food Facts (een Franse non-profitorganisatie) ontvangt alleen de cijfers van een gescande barcode en geeft publieke productinformatie terug; uw iPhone of iPad haalt daarna de foto van dat product bij hen op. Zoals bij elk internetverzoek zien hun servers technisch gezien uw IP-adres. Hun productgegevens staan onder de Open Database License en hun foto's onder Creative Commons Attribution-ShareAlike 3.0; de app vermeldt hun bijdragers waar zij deze toont.
• Apple verspreidt de app en verkoopt het abonnement: betaling, verlenging, opzegging en terugbetaling zijn van Apple, als zelfstandige verwerkingsverantwoordelijke onder eigen voorwaarden. Apple geeft ons de in §2 genoemde abonnementsgegevens door, zodat de app weet of analyse beschikbaar is. Wanneer u in de app een abonnement afsluit, draagt de aankoop het willekeurige kenmerk van uw account, zodat latere berichten van Apple erover aan uw account kunnen worden gekoppeld; het bevat geen naam en geen e-mailadres, en over uw maaltijden komt Apple niets te weten. Het lezen van etiketten en barcodeherkenning gebeuren volledig op uw iPhone of iPad met Apples on-device-frameworks — daarvoor verlaat niets het apparaat.

Met niemand anders delen wij gegevens. Wij verkopen geen gegevens. De app bevat geen analyse- of advertentie-SDK's. Deze verklaring gaat over de app; de website smart-backoffice.nl heeft een eigen privacyverklaring en gebruikt Google Analytics pas nadat u de cookiebanner heeft geaccepteerd.

5. Internationale doorgiften

Maaltijdanalyse is vastgelegd op Azures EU Data Zone en dicteren op Azure-regio's in de Europese Unie (North Europe en Sweden Central); beide worden in de Europese Unie verwerkt. Ook de gateway waar zij doorheen gaan (§3), de opslag achter uw account (§2) en de dienst die onze e-mails verstuurt (§4) staan in de Europese Unie — niets daarvan voegt een doorgifte toe: niets wat de app verstuurt, verlaat de EU. (Tot 1 oktober 2026 kon een dictaatopname buiten de EER worden verwerkt onder Microsofts standaardcontractbepalingen; het dicteren is sindsdien naar de EU verhuisd.)

Voor zover Microsoft als wereldwijd bedrijf in uitzonderingsgevallen support- of telemetriegegevens buiten de EER zou kunnen verwerken, gelden Microsofts EU Data Boundary-toezeggingen en dezelfde standaardcontractbepalingen als waarborgen.

6. Bewaartermijnen

De gegevens van uw account bewaren wij totdat u ze verwijdert — daar is een account voor. Een afzonderlijke maaltijd verwijdert u door haar weg te vegen, op onze servers net zoals op het apparaat; Instellingen → Account → Account verwijderen wist alles wat wij hebben in één keer — maaltijden, foto's, profiel, sessies en een eventueel nog klaarstaand exportbestand. Het verwijderen van de app verwijdert niets meer: meld u opnieuw aan en alles is terug; verwijder het account wanneer alles weg moet.

Een account dat niemand gebruikt, bewaren wij niet voor altijd. Is een account 18 maanden niet gebruikt — de app er niet mee geopend, niets gesynchroniseerd — dan verwijderen wij het, met alles erin. Een account met een lopend abonnement — in de gratis proefperiode, betaald of in een respijtperiode na een mislukte betaling — wordt nooit verwijderd omdat het niet wordt gebruikt. 30 dagen vooraf mailen wij het adres daarvan, met de manier om eerst alles te downloaden; de app één keer met het account openen is genoeg om het te houden. Het einde van een abonnement verwijdert op zichzelf niets: u kunt uw maaltijden nog steeds bekijken, downloaden en terugkomen.

Uw abonnementsgegevens (§2) worden bij uw account bewaard en samen ermee verwijderd — ook als het wordt verwijderd omdat het niet werd gebruikt. Het abonnement zelf loopt bij Apple door totdat u het in uw Apple-account opzegt.

Alles rondom het account is kortstondig. Een aanmeldcode werkt één keer en vervalt na ongeveer tien minuten. Het zipbestand van Al mijn gegevens downloaden wordt een paar dagen nadat het is gemaakt van onze server verwijderd (de downloadlink vervalt na 24 uur), en zoals elk verwijderd bestand blijft het daarna nog tot 35 dagen herstelbaar in onze back-up. Wat u voor een analyse of dictaat stuurt, wordt op onze gateway niet opgeslagen — het wordt doorgegeven en is dan weg — en Microsofts tijdelijke bewaring staat in §4.

Op uw iPhone of iPad worden een onafgemaakte maaltijd of correctie en een dictaatopname die nog op haar tekst wacht, alleen zo lang bewaard als §2 beschrijft: tot u ze afrondt of annuleert, of tot de tekst is binnengekomen — en nooit langer dan tot u uitlogt of uw account verwijdert.

Het in §3 beschreven apparaatkenmerk bewaren wij omdat daaraan een verzoek wordt getoetst; het wordt nog niet automatisch verwijderd wanneer een installatie de dienst niet meer gebruikt, dus wij verwijderen het op verzoek — schrijf naar het adres in §1 en vermeld dat u uw apparaatregistratie verwijderd wilt hebben. De koppeling met uw account eindigt wanneer u zich afmeldt of het account verwijdert. Het zegt ons niets over wat u eet.

De fair-useregistraties uit §3 — de regel per verzoek en de tellingen per week en per maand — worden bij uw account bewaard en samen daarmee verwijderd.

Crashdiagnoses (§2) worden 90 dagen bewaard en daarna automatisch verwijderd — lang genoeg om een probleem op te merken en te verhelpen, geen permanent archief.

Bezorgregistratie van e-mails. Bij elke e-mail die wij versturen, legt onze e-maildienst (§4) het adres vast, het tijdstip en of de e-mail is afgeleverd, geweigerd of door de ontvangende server is tegengehouden. Wij bewaren deze registratie 90 dagen — zodat wij kunnen zien waarom een inlogcode niet aankomt — en daarna wordt zij automatisch verwijderd. Zij bevat geen code, geen link en geen andere inhoud van de e-mail.

Help Food Moments verbeteren (§11) voegt geen eigen opslag toe: uw maaltijden blijven in uw account. Een werkkopie die voor een vergelijking wordt gemaakt, wordt verwijderd zodra de vergelijking klaar is, en in elk geval binnen 30 dagen nadat u de instelling heeft uitgezet.

Wij maken back-ups. Uw account is de enige volledige kopie van uw maaltijden — op uw iPhone of iPad staan alleen de recente dagen — en daarom maken wij er back-ups van. Foto's en bestanden kunnen wij terugzetten naar elk moment in de afgelopen 30 dagen, en de rest van uw account wordt elke nacht naar een gedateerd bestand geschreven en eveneens 30 dagen bewaard. Een bestand dat is verwijderd — een foto, of een nachtelijk bestand dat uit het tijdvenster is gelopen — blijft daarna nog tot 35 dagen herstelbaar voordat het definitief weg is. Dit alles staat met uw overige gegevens in de Europese Unie en wordt nergens anders voor gebruikt. Eén gevolg, onomwonden: het verwijderen van uw account wist onmiddellijk alles wat wij in bedrijf hebben, maar wat in die back-ups staat verdwijnt pas wanneer het uit het tijdvenster loopt — foto's binnen ongeveer vijf weken, de nachtelijke kopieën van uw account uiterlijk binnen 66 dagen — en niet op datzelfde moment.

7. Beveiliging

Alles wat wordt verzonden verlaat uw apparaat via versleutelde verbindingen (TLS), en op het apparaat worden uw gegevens beschermd door de ingebouwde versleuteling van het systeem en uw toegangscode. De gegevens van uw account staan nu ook op onze servers en worden dáár beschermd, in plaats van door niet te bestaan: ze zijn opgeslagen op Microsoft Azure in de Europese Unie en in rust versleuteld; ze zijn alleen via de app zelf te bereiken, want elk verzoek moet — via Apples App Attest (§3) — bewijzen dat het uit een ongewijzigde kopie van Food Moments komt en een geldige sessie van uw account meedragen; sessies gelden per apparaat en eindigen zodra u zich afmeldt; en de server bewaart sessietokens alleen als hashes, zodat een gestolen kopie van onze administratie niemand als u zou kunnen aanmelden. Wachtwoorden om te stelen zijn er niet: een aanmeldcode komt per e-mail, werkt één keer en vervalt na enkele minuten.

8. Uw rechten

Onder de AVG heeft u recht op inzage, rectificatie, verwijdering, beperking, gegevensoverdraagbaarheid en bezwaar, en het recht om uw toestemming op elk moment in te trekken zonder dat dit de rechtmatigheid van de eerdere verwerking aantast. De app is zo gebouwd dat u ze rechtstreeks uitoefent, zonder iemand te hoeven schrijven:

• Inzage: de app laat u uw maaltijden, profiel en instellingen zien, en de download hieronder bevat dat allemaal, ook wat de app niet toont, zoals de fotometingen, uw abonnementsgegevens en de dag waarop u de app voor het laatst gebruikte. Voor de rest — de fair-useregistraties uit §3, crashrapporten, het apparaatkenmerk — schrijft u ons, en wij sturen u een kopie.
• Rectificatie: corrigeer elke maaltijd in de app; wijzig uw profiel in de instellingen.
• Overdraagbaarheid: Instellingen → Account → Al mijn gegevens downloaden laat de server alles inpakken — elke foto, een reeks pagina's die u op elke computer kunt doorbladeren, een tabel die elk spreadsheetprogramma kan lezen, en één gegevensbestand met alles wat uw account bevat, inclusief correcties, profiel, instellingen en dagdoelen — en u een downloadlink mailen.
• Verwijdering: veeg een maaltijd weg, of wis alles in één keer met Instellingen → Account → Account verwijderen.
• Toestemming intrekken: voor analyse en dicteren via Instellingen → Privacy, voor Help Food Moments verbeteren met een eigen schakelaar (§11).
• Bezwaar: tegen ons gebruik van technische gegevens (§2), door ons te schrijven; wij laten uw account dan buiten beschouwing. Tegen onze af en toe gestelde vragen per e-mail (§12), met de schakelaar onder Instellingen → Privacy.

Voor al het overige en bij vragen: info@smart-backoffice.nl — wij antwoorden binnen een maand. U heeft ook het recht een klacht in te dienen bij een toezichthouder; in Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), maar u kunt zich ook wenden tot de toezichthouder van uw eigen land.

9. Kinderen

Food Moments is voor mensen van 16 jaar en ouder. Vult iemand een geboortejaar in waardoor hij of zij jonger is, dan wacht het account: er wordt niets geanalyseerd en er komen geen nieuwe maaltijden of foto's bij, totdat een ouder of voogd naar info@smart-backoffice.nl heeft gemaild en wij de toestemming per e-mail hebben bevestigd. Is het jaar per ongeluk ingevuld, dan gaat het account weer open zodra het in Instellingen is gecorrigeerd. Die e-mail bewaren wij als bewijs van de toestemming zolang het account bestaat. Een ouder of voogd kan de toestemming altijd per e-mail intrekken; het account wacht dan opnieuw. Het jaar wijzigen beëindigt dat wachten niet. Exporteren en het account verwijderen werken altijd, en een App Store-abonnement loopt door tot het in het Apple-account wordt opgezegd. Zonder die toestemming verwerken wij van personen onder de 16 bewust niets meer dan wat het account op dat moment bevat. Denkt u dat een kind met een verkeerd jaar een account heeft aangemaakt, schrijf dan naar het adres in §1 — wij verwijderen het.

10. Wijzigingen

Als de gegevensstromen van de app veranderen, wordt deze verklaring vóór het uitbrengen van de wijziging bijgewerkt (ingangsdatum bovenaan).

Elke wijziging wordt gepubliceerd op de supportpagina. Kleine wijzigingen — formulering, grammatica, een typefout, een verduidelijking die niets verandert aan wat er met uw gegevens gebeurt — worden daar en nergens anders aangekondigd.

Een wijziging met wezenlijke gevolgen voor uw gegevens wordt daarnaast in de app aangekondigd, voordat zij van kracht wordt. En een werkelijk nieuwe gegevensstroom die verwerkt wat u fotografeert, schrijft of zegt — zoals analyse en dicteren dat doen — vergt meer dan een aankondiging: die begint pas als u ermee hebt ingestemd. Een nieuw technisch signaal over de app zelf, zoals de crashdiagnoses in §2, verandert niets aan hoe uw maaltijden of account worden behandeld; dat wordt bekendgemaakt in plaats van ter instemming voorgelegd — net als het apparaatkenmerk in §3 dat al is.

11. Food Moments helpen verbeteren — alleen als u het aanzet

Food Moments wordt beter door te zien waar zijn schattingen de mist in gaan, en de hoeveelheid op het bord is waar dat het vaakst gebeurt. Onder Instellingen → Help Food Moments verbeteren staat een schakelaar waarmee u ons toestaat uw maaltijden precies daarvoor te gebruiken. Hij staat uit, tenzij u hem aanzet.

Wat u toestaat als u hem aanzet. Wij — de mensen bij Smart Backoffice Solutions B.V. die Food Moments maken, en niemand anders — mogen de maaltijden in uw account bekijken: de foto's, uw notities en correcties, de schattingen en hun geschiedenis, en de maatmetingen die bij de foto's horen. Wij gebruiken ze voor één doel: uitzoeken waar de schattingen van de app de mist in gaan en waarom, en controleren of een wijziging aan de app ze beter maakt. Om een wijziging te controleren, kunnen wij een maaltijd opnieuw door de analyse sturen met de verbeterde instructies, op dezelfde Microsoft Azure-implementatie in de Europese Unie die uw maaltijden analyseert (§4); het antwoord wordt met het oorspronkelijke vergeleken en verandert nooit de maaltijd in uw tijdlijn. Maaltijden kunnen iets over uw gezondheid zeggen — een dieet, een allergie, hoeveel u eet — daarom is hiervoor uw uitdrukkelijke toestemming nodig (art. 9 lid 2 sub a en art. 6 lid 1 sub a AVG). De schakelaar is die toestemming: het label zegt waarmee u instemt, hem aanzetten is instemmen, en de app toont de datum waarop u dat deed.

Wat hij nooit toestaat. Uw maaltijden worden niet gebruikt om AI-modellen te trainen, niet de onze en niet die van anderen. Ze worden met niemand gedeeld, niet verkocht, niet gepubliceerd en niet voor advertenties gebruikt. Wat wij leren, wordt bewaard als algemene bevindingen en totalen („de eerste schatting zat gemiddeld 15 % ernaast") die niet naar u wijzen. Niemand zal daarom contact met u opnemen.

Waar uw maaltijden blijven. In uw account, in de Europese Unie, zoals voorheen. Als een vergelijking een werkkopie nodig heeft — een foto naast zijn oude en nieuwe schatting — dan wordt die kopie alleen op onze eigen versleutelde computers bewaard, zolang de vergelijking loopt, en daarna verwijderd.

Uitzetten. U kunt hem op elk moment op dezelfde plek uitzetten, even gemakkelijk als u hem aanzette; uw andere apparaten volgen binnen enkele minuten. Vanaf dan kijken wij niet meer naar uw maaltijden, en verwijderen wij elke werkkopie ervan onverwijld, uiterlijk binnen 30 dagen. Intrekken maakt niet ongedaan wat daarvoor is gebeurd (art. 7 lid 3 AVG), en algemene bevindingen die niet meer naar u wijzen, blijven bestaan. Verder verandert er in de app hoe dan ook niets. Het verwijderen van uw account zet hem ook uit, en aanmelden met een ander account begint met de schakelaar uit.

12. E-mails van ons

Wij schrijven alleen naar het e-mailadres waarmee u inlogt, en alleen om twee soorten redenen.

E-mails die bij de dienst horen: uw inlogcodes, de link naar uw download, de melding 30 dagen voordat een account dat niemand meer gebruikt wordt verwijderd (§6), wijzigingen van deze verklaring of van de voorwaarden die wij u moeten laten weten, en het einde van de dienst. Grondslag: de uitvoering van onze overeenkomst met u (art. 6 lid 1 sub b AVG).

Af en toe een vraag. Daarnaast schrijven wij zelden — alleen over iets belangrijks, of om naar uw mening te vragen: wat voor u werkt, wat niet, wat u zou willen. Wij sturen geen reclame en geen nieuwsbrief. Grondslag: ons gerechtvaardigd belang om te horen van de mensen die Food Moments gebruiken (art. 6 lid 1 sub f AVG). U kunt op elk moment bezwaar maken (art. 21 AVG) met Instellingen → Privacy → Af en toe vragen per e-mail: staat het uit, dan sturen wij u geen vragen meer. Het staat aan tenzij u het uitzet, het volgt uw account naar uw andere apparaten, en elke zulke e-mail zegt in één regel aan het eind waar u het uitzet. Of u antwoordt, is altijd aan u.

13. Onderzoek met universiteiten

Wij kunnen met universiteiten en onderzoeksinstellingen samenwerken aan studies of veldexperimenten over voeding en de app. Uw gegevens worden alleen voor een studie gebruikt als u afzonderlijk en geïnformeerd toestemming hebt gegeven voor die ene studie. Voordat u beslist, hoort u wie de studie uitvoert, wat die inhoudt, welke van uw gegevens zij zou gebruiken, hoe lang, en hoe u kunt stoppen. Elke studie wordt vóór de start beoordeeld door een ethische commissie. Deelname is altijd vrijwillig; u kunt op elk moment stoppen, zonder opgave van redenen en zonder enig nadeel, en uw toestemming wordt per studie afzonderlijk vastgelegd. Geeft u geen toestemming, dan neemt u nooit deel en worden geen van uw gegevens voor de studie gebruikt. Dit staat los van Help Food Moments verbeteren (§11): dat aanzetten laat u niet aan een studie deelnemen, en toestemming voor een studie zet het niet aan.