Privacyverklaring — Food Moments

Ingangsdatum: 19 september 2026. Deze verklaring is beschikbaar in het Engels, Duits, Nederlands, Spaans, Frans en Portugees; de Engelse versie is leidend.

Food Moments schat de voedingswaarde van uw maaltijden op basis van foto's en uw eigen woorden. De app is zo gebouwd dat uw gegevens van u blijven: geen advertenties, geen tracking, geen naam — uw account is niets meer dan uw e-mailadres. Alles wat u vastlegt wordt in dat account opgeslagen, op onze eigen servers in de Europese Unie, met de recente dagen op uw iPhone; daardoor brengt een nieuwe iPhone alles terug — en er horen twee knoppen bij die de gegevens ook praktisch van u houden: één die alles downloadt, één die alles wist. Wat waarheen wordt gestuurd — en de ene gegevensstroom die de EU kan verlaten — wordt hieronder precies beschreven; de AI-analyse en het dicteren beginnen elk pas nadat u daarmee in de app heeft ingestemd, en naar uw maaltijden zelf kijken wij alleen als u ons daartoe uitnodigt (§11).

1. Verwerkingsverantwoordelijke

De verwerkingsverantwoordelijke is Smart Backoffice Solutions B.V., Saal van Zwanenbergweg 11, 5026 RM Tilburg, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 90141482. Contact: info@smart-backoffice.nl.

2. Wat de app verwerkt — en waar het blijft

In uw account opgeslagen, op onze servers in de Europese Unie:

Deze opslag draait op Microsoft Azure in West-Europa (§4). Uw iPhone houdt ongeveer de laatste twee weken bij de hand en haalt oudere dagen op wanneer u ernaartoe terugscrolt; aanmelden op een nieuwe iPhone herstelt alles. Het verwijderen van de app verwijdert uw gegevens daarom niet meer — het verwijderen van uw account wél, volledig en direct in de app (§6, §8).

Uw account is bewust minimaal: uw e-mailadres, en verder niets — geen naam, geen wachtwoord. U meldt zich aan met een eenmalige zescijferige code die wij u mailen; elke iPhone waarop u zich aanmeldt krijgt een eigen sessie, die eindigt zodra u zich afmeldt. Rechtsgrondslag voor het account en voor het opslaan van uw maaltijdgegevens daarin: de uitvoering van onze overeenkomst met u (art. 6 lid 1 sub b AVG) — deze opslag is de dienst — en, omdat maaltijden iets over uw gezondheid kunnen zeggen, uw uitdrukkelijke toestemming, die u geeft wanneer u het account aanmaakt (art. 9 lid 2 sub a AVG). Door het account te verwijderen trekt u die toestemming in.

Apple Health, als u „Activiteitsgegevens uit Apple Health" inschakelt: de app leest uw rust- en actieve energie op deze iPhone om het energiedoel van de dag te bepalen. De metingen blijven in Apple Health — ze worden nooit naar het AI-model gestuurd, nooit voor advertenties gebruikt, en de app schrijft nooit naar Health. Wat uw account bewaart, is het resultaat: het energiedoel van elke dag, samen met het verbruikte aantal calorieën waaruit het is berekend — opgeslagen bij uw dagdoelen, zodat een voorbije dag ook op een nieuwe iPhone zijn echte doel houdt.

Daarnaast hebben wij een gateway waar elk analyse- en dictaatverzoek doorheen gaat, beschreven in §3. Die bewaart niets van uw maaltijdinhoud — foto's, notities en opnamen gaan er doorheen en zijn weg zodra het antwoord terugkomt. Wat hij wél bewaart, zijn een technisch kenmerk van uw apparaat en een registratie van elk verzoek voor fair use, beide toegelicht in §3.

Verzonden voor een maaltijdanalyse (alleen met uw toestemming, zie §3):

Verzonden bij het dicteren van een notitie (alleen met uw toestemming, zie §3):

Alleen op uw iPhone bewaard, zolang iets nog niet af is:

Beide staan in de eigen opslag van de app op uw iPhone, beschermd door de versleuteling van iOS en uitgesloten van iPhone-back-ups; geen van beide wordt ooit naar uw account geüpload.

Verzonden wanneer u een barcode scant of er een op een foto wordt herkend:

Automatisch verzonden als de app crasht, vastloopt of te veel processorkracht of opslag gebruikt:

Bekeken om de app beter te laten werken — technische gegevens, nooit wat u at:

Door u gedeeld, rechtstreeks van uw iPhone naar een andere (er gaat niets via ons):

3. Maaltijdanalyse door AI — uw toestemming

Voor een schatting stuurt de app de hierboven genoemde gegevens naar een AI-model (OpenAI GPT) op Microsoft Azure-servers in de Europese Unie, op onze eigen implementatie. Wat de app stuurt, wordt gebruikt om uw voedingswaardeschatting te berekenen — en, alleen als u Help Food Moments verbeteren heeft aangezet, om de app te verbeteren zoals §11 beschrijft. Het wordt niet gebruikt om AI-modellen te trainen. Uw account draagt geen naam, en het AI-model ziet er niets van: wat het model bereikt is de maaltijd, niet wie u bent.

Elk verzoek gaat eerst via onze eigen gateway. Dat is een kleine server die wij op Microsoft Azure in de Europese Unie draaien. Hij bestaat zodat de toegangsgegevens voor de AI-dienst niet in de app zitten, waar iedereen ze uit het gedownloade bestand zou kunnen halen en op onze rekening kosten zou kunnen maken. De gateway controleert of een verzoek werkelijk van een ongewijzigde kopie van Food Moments op een echt Apple-apparaat komt — met Apples App Attest — en of het bij een aangemeld account hoort, zodat de fair-uselimieten per account in plaats van per telefoon worden geteld, en geeft het dan door. Bij een analyse voegt hij uw foto's vanuit de opslag van uw account in het verzoek in; verder leest hij niet wat u stuurt, en bewaart hij er geen kopie van. Voor fair use en kostenbeheersing legt hij per account voor elk verzoek een regel vast: wanneer, van welk soort, welk model, hoe lang het duurde, hoeveel gegevens en rekenkracht het gebruikte, om welke maaltijd het ging en of het slaagde. Uw foto's, notities en opnamen komen nooit in deze registraties of in zijn logboeken voor, en de registraties worden samen met uw account verwijderd.

Voor die controle maakt uw iPhone een cryptografische sleutel die het apparaat nooit verlaat, en de gateway bewaart het kenmerk van die sleutel samen met een teller die voorkomt dat een onderschept verzoek opnieuw wordt afgespeeld. Dat kenmerk is een willekeurige waarde die door deze installatie van de app is aangemaakt: het bevat geen naam, geen e-mailadres en geen serienummer. Zolang u bent aangemeld, koppelt onze administratie het aan de sessie van uw account, en daarom behandelen wij het als persoonsgegeven. Het ontstaat de eerste keer dat de app met onze server contact maakt — wanneer u zich aanmeldt — en door de app te verwijderen wordt het nutteloos. Rechtsgrondslag voor dit ene technische gegeven: ons gerechtvaardigd belang om de dienst tegen misbruik te beschermen (art. 6 lid 1 sub f AVG).

De app vraagt vóór de eerste analyse om uw uitdrukkelijke toestemming (rechtsgrondslag: art. 6 lid 1 sub a AVG, en art. 9 lid 2 sub a AVG omdat maaltijden iets over uw gezondheid kunnen zeggen). U kunt uw toestemming op elk moment intrekken via Instellingen → Privacy; de analyse blijft dan uit totdat u opnieuw instemt — de rest van de app blijft werken.

Voor dicteren geldt een eigen toestemming — met één verschil dat u moet weten. Een gesproken notitie wordt door een spraakmodel in tekst omgezet, eveneens op onze eigen Microsoft Azure-implementatie — maar dat is een Global Standard-implementatie, omdat het spraakmodel dat de app gebruikt niet als EU-gebonden implementatie wordt aangeboden. Microsoft stuurt elk verzoek naar het datacentrum dat capaciteit heeft; dat kan buiten de Europese Unie liggen, ook in de Verenigde Staten. Dicteren is daarmee het enige onderdeel van Food Moments waarvan de gegevens de EU kunnen verlaten; §5 beschrijft de waarborgen. De app vraagt vóór uw eerste dictaat (eveneens art. 6 lid 1 sub a AVG) en u kunt die toestemming op dezelfde plek intrekken — dicteren blijft dan uit, en een notitie kunt u altijd typen; een notitie die u alleen typt, zonder erin te dicteren, blijft binnen de Europese Unie — in uw account, zoals al het andere.

Maaltijdfoto's en notities kunnen terloops iets over u onthullen — een dieet, een allergie, een vastenpraktijk. Wij beperken dat door alleen de te analyseren maaltijd te versturen, de resultaten in uw eigen account te bewaren, waar alleen u erbij kunt, en er niets van op onze gateway op te slaan.

4. Dienstverleners

Met niemand anders delen wij gegevens. Wij verkopen geen gegevens. De app bevat geen analyse- of advertentie-SDK's. Deze verklaring gaat over de app; de website smart-backoffice.nl heeft een eigen privacyverklaring en gebruikt Google Analytics pas nadat u de cookiebanner heeft geaccepteerd.

5. Internationale doorgiften

De maaltijdanalyse is vastgelegd op Azures EU Data Zone en wordt in de Europese Unie verwerkt. Ook de gateway waar zij doorheen gaat (§3), de opslag achter uw account (§2) en de dienst die aanmeldcode- en export-e-mails verstuurt (§4) staan in de Europese Unie — niets daarvan voegt een doorgifte toe.

Dicteren niet. De spraakimplementatie is een wereldwijde, zodat de audio van een dictaat — en de laatste paar zinnen van de notitie tot dan toe, getypt of gedicteerd, die worden meegestuurd zodat woorden en namen consistent blijven — buiten de EER kan worden verwerkt, ook in de Verenigde Staten. Voor die doorgifte gelden de EU-standaardcontractbepalingen in Microsofts Data Protection Addendum, samen met Microsofts aanvullende maatregelen: versleuteling tijdens transport en in rust, geen gebruik van de gegevens om modellen te trainen, en geen opslag buiten de in §4 beschreven tijdelijke misbruikcontrole. Microsoft neemt bovendien deel aan het EU-VS Data Privacy Framework, waarvoor de Europese Commissie op 10 juli 2023 een adequaatheidsbesluit heeft vastgesteld. Bij een opname hoort niets dat u identificeert, en uw maaltijden, foto's en tijdlijn maken nooit deel uit van een dictaatverzoek.

Wilt u liever dat niets van u de EU verlaat, typ dan uw notities en dicteer niet: de app is zonder dicteren volledig bruikbaar, en de dicteertoestemming kunt u op elk moment intrekken via Instellingen → Privacy.

Voor zover Microsoft als wereldwijd bedrijf in uitzonderingsgevallen support- of telemetriegegevens buiten de EER zou kunnen verwerken, gelden Microsofts EU Data Boundary-toezeggingen en dezelfde standaardcontractbepalingen als waarborgen.

6. Bewaartermijnen

De gegevens van uw account bewaren wij totdat u ze verwijdert — daar is een account voor. Een afzonderlijke maaltijd verwijdert u door haar weg te vegen, op onze servers net zoals op de telefoon; Instellingen → Account → Account verwijderen wist alles wat wij hebben in één keer — maaltijden, foto's, profiel, sessies en een eventueel nog klaarstaand exportbestand. Het verwijderen van de app verwijdert niets meer: meld u opnieuw aan en alles is terug; verwijder het account wanneer alles weg moet.

Alles rondom het account is kortstondig. Een aanmeldcode werkt één keer en vervalt na ongeveer tien minuten. Het zipbestand van Al mijn gegevens downloaden wordt een paar dagen nadat het is gemaakt van onze server verwijderd (de downloadlink vervalt na 24 uur), en zoals elk verwijderd bestand blijft het daarna nog tot 35 dagen herstelbaar in onze back-up. Wat u voor een analyse of dictaat stuurt, wordt op onze gateway niet opgeslagen — het wordt doorgegeven en is dan weg — en Microsofts tijdelijke bewaring staat in §4.

Op uw iPhone worden een onafgemaakte maaltijd of correctie en een dictaatopname die nog op haar tekst wacht, alleen zo lang bewaard als §2 beschrijft: tot u ze afrondt of annuleert, of tot de tekst is binnengekomen — en nooit langer dan tot u uitlogt of uw account verwijdert.

Het in §3 beschreven apparaatkenmerk bewaren wij omdat daaraan een verzoek wordt getoetst; het wordt nog niet automatisch verwijderd wanneer een installatie de dienst niet meer gebruikt, dus wij verwijderen het op verzoek — schrijf naar het adres in §1 en vermeld dat u uw apparaatregistratie verwijderd wilt hebben. De koppeling met uw account eindigt wanneer u zich afmeldt of het account verwijdert. Het zegt ons niets over wat u eet.

De fair-useregistraties uit §3 — de regel per verzoek en de tellingen per week en per maand — worden bij uw account bewaard en samen daarmee verwijderd.

Crashdiagnoses (§2) worden 90 dagen bewaard en daarna automatisch verwijderd — lang genoeg om een probleem op te merken en te verhelpen, geen permanent archief.

Help Food Moments verbeteren (§11) voegt geen eigen opslag toe: uw maaltijden blijven in uw account. Een werkkopie die voor een vergelijking wordt gemaakt, wordt verwijderd zodra de vergelijking klaar is, en in elk geval binnen 30 dagen nadat u de instelling heeft uitgezet.

Wij maken back-ups. Uw account is de enige volledige kopie van uw maaltijden — op de iPhone staan alleen de recente dagen — en daarom maken wij er back-ups van. Foto's en bestanden kunnen wij terugzetten naar elk moment in de afgelopen 30 dagen, en de rest van uw account wordt elke nacht naar een gedateerd bestand geschreven en eveneens 30 dagen bewaard. Een bestand dat is verwijderd — een foto, of een nachtelijk bestand dat uit het tijdvenster is gelopen — blijft daarna nog tot 35 dagen herstelbaar voordat het definitief weg is. Dit alles staat met uw overige gegevens in de Europese Unie en wordt nergens anders voor gebruikt. Eén gevolg, onomwonden: het verwijderen van uw account wist onmiddellijk alles wat wij in bedrijf hebben, maar wat in die back-ups staat verdwijnt pas wanneer het uit het tijdvenster loopt — foto's binnen ongeveer vijf weken, de nachtelijke kopieën van uw account uiterlijk binnen 66 dagen — en niet op datzelfde moment.

7. Beveiliging

Alles wat wordt verzonden verlaat uw apparaat via versleutelde verbindingen (TLS), en op het apparaat worden uw gegevens beschermd door de ingebouwde versleuteling van iOS en uw toegangscode. De gegevens van uw account staan nu ook op onze servers en worden dáár beschermd, in plaats van door niet te bestaan: ze zijn opgeslagen op Microsoft Azure in de Europese Unie en in rust versleuteld; ze zijn alleen via de app zelf te bereiken, want elk verzoek moet — via Apples App Attest (§3) — bewijzen dat het uit een ongewijzigde kopie van Food Moments komt en een geldige sessie van uw account meedragen; sessies gelden per apparaat en eindigen zodra u zich afmeldt; en de server bewaart sessietokens alleen als hashes, zodat een gestolen kopie van onze administratie niemand als u zou kunnen aanmelden. Wachtwoorden om te stelen zijn er niet: een aanmeldcode komt per e-mail, werkt één keer en vervalt na enkele minuten.

8. Uw rechten

Onder de AVG heeft u recht op inzage, rectificatie, verwijdering, beperking, gegevensoverdraagbaarheid en bezwaar, en het recht om uw toestemming op elk moment in te trekken zonder dat dit de rechtmatigheid van de eerdere verwerking aantast. De app is zo gebouwd dat u ze rechtstreeks uitoefent, zonder iemand te hoeven schrijven:

Voor al het overige en bij vragen: info@smart-backoffice.nl — wij antwoorden binnen een maand. U heeft ook het recht een klacht in te dienen bij een toezichthouder; in Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), maar u kunt zich ook wenden tot de toezichthouder van uw eigen land.

9. Kinderen

Food Moments is niet op kinderen gericht, en wij verwerken bewust geen gegevens van kinderen. Denkt u dat een kind een account heeft aangemaakt, schrijf dan naar het adres in §1 — wij verwijderen het.

10. Wijzigingen

Als de gegevensstromen van de app veranderen, wordt deze verklaring vóór het uitbrengen van de wijziging bijgewerkt (ingangsdatum bovenaan).

Elke wijziging wordt gepubliceerd op de supportpagina. Kleine wijzigingen — formulering, grammatica, een typefout, een verduidelijking die niets verandert aan wat er met uw gegevens gebeurt — worden daar en nergens anders aangekondigd.

Een wijziging met wezenlijke gevolgen voor uw gegevens wordt daarnaast in de app aangekondigd, voordat zij van kracht wordt. En een werkelijk nieuwe gegevensstroom die verwerkt wat u fotografeert, schrijft of zegt — zoals analyse en dicteren dat doen — vergt meer dan een aankondiging: die begint pas als u ermee hebt ingestemd. Een nieuw technisch signaal over de app zelf, zoals de crashdiagnoses in §2, verandert niets aan hoe uw maaltijden of account worden behandeld; dat wordt bekendgemaakt in plaats van ter instemming voorgelegd — net als het apparaatkenmerk in §3 dat al is.

11. Food Moments helpen verbeteren — alleen als u het aanzet

Food Moments wordt beter door te zien waar zijn schattingen de mist in gaan, en de hoeveelheid op het bord is waar dat het vaakst gebeurt. Onder Instellingen → Help Food Moments verbeteren staat een schakelaar waarmee u ons toestaat uw maaltijden precies daarvoor te gebruiken. Hij staat uit, tenzij u hem aanzet.

Wat u toestaat als u hem aanzet. Wij — de mensen bij Smart Backoffice Solutions B.V. die Food Moments maken, en niemand anders — mogen de maaltijden in uw account bekijken: de foto's, uw notities en correcties, de schattingen en hun geschiedenis, en de maatmetingen die bij de foto's horen. Wij gebruiken ze voor één doel: uitzoeken waar de schattingen van de app de mist in gaan en waarom, en controleren of een wijziging aan de app ze beter maakt. Om een wijziging te controleren, kunnen wij een maaltijd opnieuw door de analyse sturen met de verbeterde instructies, op dezelfde Microsoft Azure-implementatie in de Europese Unie die uw maaltijden analyseert (§4); het antwoord wordt met het oorspronkelijke vergeleken en verandert nooit de maaltijd in uw tijdlijn. Maaltijden kunnen iets over uw gezondheid zeggen — een dieet, een allergie, hoeveel u eet — daarom is hiervoor uw uitdrukkelijke toestemming nodig (art. 9 lid 2 sub a en art. 6 lid 1 sub a AVG). De schakelaar is die toestemming: het label zegt waarmee u instemt, hem aanzetten is instemmen, en de app toont de datum waarop u dat deed.

Wat hij nooit toestaat. Uw maaltijden worden niet gebruikt om AI-modellen te trainen, niet de onze en niet die van anderen. Ze worden met niemand gedeeld, niet verkocht, niet gepubliceerd en niet voor advertenties gebruikt. Wat wij leren, wordt bewaard als algemene bevindingen en totalen („de eerste schatting zat gemiddeld 15 % ernaast") die niet naar u wijzen. Niemand zal daarom contact met u opnemen.

Waar uw maaltijden blijven. In uw account, in de Europese Unie, zoals voorheen. Als een vergelijking een werkkopie nodig heeft — een foto naast zijn oude en nieuwe schatting — dan wordt die kopie alleen op onze eigen versleutelde computers bewaard, zolang de vergelijking loopt, en daarna verwijderd.

Uitzetten. U kunt hem op elk moment op dezelfde plek uitzetten, even gemakkelijk als u hem aanzette; uw andere iPhones volgen binnen enkele minuten. Vanaf dan kijken wij niet meer naar uw maaltijden, en verwijderen wij elke werkkopie ervan onverwijld, uiterlijk binnen 30 dagen. Intrekken maakt niet ongedaan wat daarvoor is gebeurd (art. 7 lid 3 AVG), en algemene bevindingen die niet meer naar u wijzen, blijven bestaan. Verder verandert er in de app hoe dan ook niets. Het verwijderen van uw account zet hem ook uit, en aanmelden met een ander account begint met de schakelaar uit.