Privacyverklaring

Verwerkingsverantwoordelijke

tap & type UG (haftungsbeschränkt), Pestalozzistr. 14, 14943 Luckenwalde, Duitsland, e-mail: kontakt@waffenschrank.app (zie colofon).

Persoon die verantwoordelijk is voor de bescherming van persoonsgegevens (Canada, inclusief Québec): Stefan Ritschel, directeur van tap & type UG (haftungsbeschränkt), kontakt@waffenschrank.app.

Uitgangspunt: je gegevens blijven bij jou

Waffenschrank is een local-first app: alle inhoud (wapens, munitie, training, documenten, foto’s) wordt op je apparaat opgeslagen, in de web-app in de opslag van je browser – die de browser onder bepaalde omstandigheden uit zichzelf leegmaakt (zie “Hoe lang we iets bewaren”). Op een server komt ze alleen terecht als je zelf een back-up, de synchronisatie tussen apparaten, een vitrine of een verenigingspagina instelt; wat er dan waarheen gaat, staat in de paragrafen hieronder. Er is geen verplicht gebruikersaccount, geen tracking, geen reclame en er zijn geen analysecomponenten; hoe je de app gebruikt, analyseren we niet. Welke samengevatte cijfers Apple en Google ons tonen, staat onder “Wat we van App Store en Google Play ontvangen”. Tekstherkenning (OCR), het uitknippen van foto’s en de analyse van schietschijven gebeuren op het apparaat – foto’s verlaten het daarvoor niet. Alleen in de web-app laadt de tekstherkenning bij het eerste gebruik haar herkenningsmodel en haar rekenkern van onze eigen server (web.waffenschrank.app), niet van een externe host; ook daar wordt de afbeelding zelf in de browser geanalyseerd en niet geüpload. Vul je bij een verwerving of een overdracht naam, adres en geboortedatum van de andere partij in, dan zijn dat gegevens van een andere persoon: ook die blijven op je apparaat en gaan nooit in een vitrine; in iCloud-, Drive- en accountback-ups en in de synchronisatie gaan ze alleen versleuteld mee. Exporteer je zelf een back-upbestand zonder wachtwoord (daarvoor waarschuwt de app), een pdf met deze gegevens of een csv-bestand van het Amerikaanse register, dan is het bestand niet versleuteld.

De shottimer gebruikt de microfoon uitsluitend om schoten als geluidspieken te herkennen. De analyse gebeurt in realtime op het apparaat; audio wordt op geen enkel moment opgenomen, opgeslagen of verzonden – opgeslagen worden alleen de herkende tijdstippen (getalwaarden). De microfoontoegang is alleen actief zolang de timer loopt.

De trainingscoach berekent zijn tips volledig lokaal uit je invoer. Op apparaten met ingebouwde on-device-AI van het systeem (Apple Intelligence of Gemini Nano) kan hij daarnaast een korte samenvatting laten formuleren – ook dat gebeurt uitsluitend op het apparaat. In die samenvatting komen alleen geaggregeerde kengetallen, nooit gegevens over wapens, locaties of personen, en niets daarvan verlaat het apparaat of wordt opgeslagen.

Tips over Pro: Na bepaalde stappen – bijvoorbeeld je eerste back-up, een afgeronde termijn of je tiende training – toont de app op het Overzicht eenmalig een kaart over een passende Pro-functie. Of en wanneer dat gebeurt, beslist de app uitsluitend op je apparaat, aan de hand van je invoer; daarvoor onthoudt ze daar welke tips ze wanneer heeft getoond en welke stand ze aantrof bij de eerste start van versie 3.5. Heeft de Pro-pagina je een gratis proefperiode aangeboden, dan onthoudt de app bovendien de duur, de prijs en de valuta ervan, met het tijdstip, om de proefperiode tot zeven dagen lang ook onder “Meer” te noemen. Niets daarvan verlaat het apparaat; wij komen niet te weten of en wanneer je een tip ziet. Je kunt de tips uitschakelen in je profiel onder “Tips over Pro-functies”. Rechtsgrond: art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om onze eigen functies bekend te maken; de schakelaar is tegelijk je bezwaar op grond van art. 21, lid 2, AVG); voor het opslaan op het apparaat § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land (zie “Uitgangspunt”).

De inhoudsgegevens van de app – de database (map “SQLite”), de foto’s (map “photos”) en de documenten (map “documents”) – zijn uitgesloten van de iOS-apparaatback-up. Ze worden dus niet automatisch meegenomen in de apparaat- of iCloud-back-up. Op Android is de systeemback-up voor de app volledig uitgeschakeld, dus ook daar komt geen inhoud automatisch in een Google-back-up terecht. Technische restanten (bijv. app-instellingen in de systeemopslag en, op iPhone en iPad tot de volgende start, de foutmelding van een crash bij het opstarten, zie “Wat er bij het opstarten gebeurt – ook zonder account”) kunnen nog steeds in de apparaatback-up belanden; gegevens over wapens, munitie en training horen daar niet bij. Een back-up van je inhoud ontstaat alleen als je die zelf instelt: iCloud-back-up, Google Drive-back-up (Android), accountback-up/synchronisatie of handmatige export. Zonder een van deze back-ups zijn de gegevens bij verlies of defect van het apparaat verloren.

Waffenschrank is niet bedoeld voor kinderen; account, vitrine en verenigingspagina zijn bedoeld voor volwassenen vanaf 18 jaar.

“Do Not Track”: we verzamelen geen persoonsgegevens over je onlineactiviteiten in de loop van de tijd of over websites en diensten van derden heen, en geen derde doet dat via onze app of website. “Do Not Track”-signalen van de browser en Global Privacy Control veranderen hier daarom niets – er is geen tracking die ze zouden kunnen uitschakelen.

Opslaan of uitlezen op je apparaat: waar deze verklaring daarvoor § 25 Abs. 2 Nr. 2 TDDDG noemt, gaat het om toegang die strikt noodzakelijk is voor een dienst waar je uitdrukkelijk om hebt gevraagd; daarvoor is geen toestemming nodig (art. 5, lid 3, tweede zin, van Richtlijn 2002/58/EG). Buiten Duitsland geldt de overeenkomstige bepaling van je land: in Oostenrijk § 165 Abs. 3 TKG 2021, in Frankrijk art. 82 van wet nr. 78-17 van 6 januari 1978 (Informatique et Libertés), in Italië art. 122 van de Codice in materia di protezione dei dati personali, in Spanje art. 22.2, derde alinea, LSSI, in Denemarken § 4, stk. 1, nr. 2, van het cookiebesluit (cookiebekendtgørelsen, BEK nr. 1148 van 9 december 2011), in Polen art. 399 van de wet op de elektronische communicatie (Prawo komunikacji elektronicznej), in Tsjechië § 89 odst. 3 zákona č. 127/2005 Sb., in Finland § 205 van de wet op diensten voor elektronische communicatie (917/2014), in Nederland art. 11.7a lid 3 onder b Telecommunicatiewet, in België art. 10/2, al. 2, de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, in Zweden 9 kap. 28 § andra stycket 2 lagen (2022:482) om elektronisk kommunikation, in Slowakije § 109 ods. 8 zákona č. 452/2021 Z. z., in Ierland Reg. 5(5) S.I. No. 336/2011, in Luxemburg art. 4, paragraphe 3, lettre e), de la loi modifiée du 30 mai 2005 concernant la protection de la vie privée dans le secteur des communications électroniques, in Estland en Litouwen de bepaling die deze richtlijn daar omzet, en in Noorwegen § 3-15, tweede lid, onder b, van de ekomloven. In Hongarije staat § 155 lid 4 Eht. (2003. évi C. törvény az elektronikus hírközlésről) het opslaan en uitlezen op je apparaat alleen toe als je vooraf bent geïnformeerd en toestemming hebt gegeven; de uitzondering van de richtlijn herhaalt hij niet, hoewel hij de richtlijn omzet. Wij leggen die bepaling uit zoals de richtlijn en vragen daarom ook in Hongarije voor deze toegang niet om je toestemming; naar de letterlijke tekst van die bepaling zou ook deze toegang toestemming vereisen.

Wat er bij het opstarten gebeurt – ook zonder account

Helemaal zonder netwerkverkeer is de app niet. Op iPhone, iPad en Android vraagt ze bij het opstarten aan onze eigen distributie (updates.waffenschrank.app, geleverd via onze hostingdienstverlener Cloudflare, Inc. – verwerker, EU-standaardcontractbepalingen) of er een programma-update beschikbaar is. Daarbij worden onvermijdelijk je IP-adres, de project- en update-ID, het distributiekanaal, de runtimeversie en het platform en de versie van het besturingssysteem verzonden. Twee andere gegevens voegt de updatebibliotheek uit zichzelf toe: een installatie-ID die bij de eerste start wordt aangemaakt en blijvend op het apparaat blijft, en na een crash eenmalig de bijbehorende foutmelding (tot 1024 tekens), die daarbij op het apparaat wordt gewist. Sinds versie 2.2.1 vervangt de app beide door vaste plaatshouders die voor alle apparaten gelijk zijn, zodat geen van beide gegevens het apparaat verlaat; oudere versies sturen ze nog mee. Onze updatedienst heeft ze niet nodig, analyseert ze niet en slaat ze niet op. App-versies vóór 1.3 vragen het in plaats van aan onze distributie aan Expo (650 Industries, Inc., VS – de doorgifte berust op het adequaatheidsbesluit voor het EU-VS-kader voor gegevensbescherming, waaronder Expo is gecertificeerd) en sturen daarbij ook de installatie-ID mee. Inhoud van je verzameling zit er niet bij. Rechtsgrond: art. 6, lid 1, onder f, AVG (leveren van foutoplossingen); voor zover de app daarvoor noodzakelijke gegevens op je apparaat uitleest, zoals de ID van de geïnstalleerde update, § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land (zie “Uitgangspunt”).

Een paar seconden na het opstarten vraagt de app op iPhone, iPad en Android bovendien aan kataloge.waffenschrank.app (eveneens via Cloudflare, Inc. – verwerker, EU-standaardcontractbepalingen) of er een nieuwere stand van de wapen-, accessoire- en munitiecatalogi is, en downloadt die zo nodig. Daarbij worden onvermijdelijk je IP-adres en de gegevens verzonden die het besturingssysteem aan elk verzoek toevoegt (zoals app- en systeemversie); een ID van je installatie en inhoud van je verzameling zitten er niet bij. Een gescande barcode vergelijkt de app alleen met de stand op het apparaat. Rechtsgrond: art. 6, lid 1, onder f, AVG (actuele catalogi zonder nieuwe app-versie).

Op iPhone, iPad en Android maakt de aankoopafhandeling bij het opstarten alleen contact als op dit apparaat al eens een aankoop is gestart, een code is ingewisseld of een Pro-ontgrendeling via de store is herkend, of – sinds versie 2.2.1 – als de store van je apparaat een Pro-aankoop van je account registreert (dat kijkt de app daar na zonder zelf iets te verzenden); dan controleert ze of Pro nog geldt – doorgaans hoogstens om de twaalf uur, vaker zolang een aankoop niet is afgerond of als een abonnement is verlopen (zie “Aankopen”). Heb je nooit iets gekocht, dan maakt ze pas contact als je de Pro-pagina opent. Andere verbindingen legt de app pas als je de bijbehorende functie zelf instelt of start: account, back-up, vitrine, contactformulier en het invullen vanuit winkellinks. Daarna lopen sommige daarvan ook vanzelf door – de automatische back-up, de maandelijkse vernieuwing van een vitrine en, als Pro eindigt of terugkomt, het pauzeren of opnieuw uploaden van extra vitrines.

Dit geldt voor de app vanaf versie 2.2. Oudere versies melden zich bij elke start bij de aankoopafhandeling (RevenueCat) om de Pro-status te controleren.

Rechten op het apparaat

Om rechten vraagt de app pas als je de bijbehorende functie gebruikt: camera en fotobibliotheek (foto’s van wapens, documenten en bewijsstukken, barcode- en tekstscan), microfoon (shottimer), NFC (tags op kasten en koffers lezen), Face ID of vingerafdruk (app-vergrendeling en vrijgave van de herstelsleutel), meldingen (herinneringen) en op iPhone en iPad de agenda (alleen afspraken toevoegen, als je meerdere termijnen tegelijk toevoegt; je agenda lezen kan de app niet). Wat daarbij ontstaat, blijft op het apparaat. Wat je aan je agenda toevoegt, staat daarna in je agenda – en, als je agenda synchroniseert met een onlinedienst, ook bij die dienst.

Tekstherkenning, barcode en coach op Android (Google ML Kit)

Op Android verzorgen bibliotheken van Google (ML Kit) de tekstherkenning, het scannen van barcodes, het uitknippen van foto’s en het scannen van documenten; de samenvatting van de trainingscoach formuleert Gemini Nano via de systeemdienst AICore. Afbeelding, herkende tekst, barcode-inhoud en invoer voor de coach worden daarbij op het apparaat verwerkt. Uit zichzelf zou ML Kit vanaf het eerste gebruik van een van deze functies diagnose- en gebruiksgegevens naar Google LLC (VS) sturen (firebaselogging.googleapis.com): een blijvende ID van de installatie, pakketnaam en bibliotheekversie, taalinstelling, apparaatmodel en fabrikant, Android-versie, land, mobiel netwerk, netwerktype en tijdzone. Deze verzendweg hebben we in de app uitgeschakeld: de gebeurtenissen worden niet opgeslagen en niet verzonden. Het uitknippen en het scannen van documenten gebeuren in de Google Play-services van je apparaat, een systeemonderdeel van Google; wat die zelf aan Google doorgeven, valt onder de voorwaarden van Google en buiten deze uitschakeling. Op iPhone en iPad zit ML Kit niet in de app.

Herinneringen, widgets en opdrachten

Herinneringen – aan termijnen, onderhoud, training, wedstrijden en eigen afspraken, aan het einde van een Pro-proefperiode en aan de verlenging van een Pro-jaar- of Pro-kwartaalabonnement – plant en toont het apparaat zelf (lokale meldingen). Er is geen pushdienst; geen enkele server komt te weten waaraan de app je herinnert. De e-mail vóór de verlenging van een jaar- of kwartaalabonnement loopt via een eigen weg (zie “Herinnering vóór de verlenging”).

Voor widgets, live-activiteiten, opdrachten en Siri legt de app op iPhone en iPad de daarvoor nodige gegevens in een gedeeld gedeelte van het apparaat (app-groep): het aantal van je wapens, van je munitiesoorten die opraken en van je trainingen in de afgelopen twaalf maanden; merk, model en kaliber van elk wapen; naam, kaliber en voorraad van elke munitiesoort en de voorraad per kaliber; titel, vervaldatum en soort van je openstaande termijnen samen met het wapen waartoe ze behoren; het behoefte-stoplicht, de taal van de app en interne kenmerken waarmee de app deze gegevens terugvindt. Serienummers, bewaarplaatsen en de nummers van je vergunningen horen daar niet bij. Vink je op iPhone of iPad een termijn af in de widget, dan blijft dat verzoek in de app-groep staan tot de app het bij het volgende openen uitvoert. Voor de termijnenwidget op Android bewaart de app titel en vervaldatum van je openstaande termijnen in haar eigen opslag. Is de app-vergrendeling actief, dan bewaart ze alleen neutrale tellers zonder namen. Uit deze gedeelten verstuurt de app niets, en ze zijn uitgesloten van de back-up van het apparaat. Deel je op iPhone of iPad vanuit een andere app een foto of pdf met Waffenschrank, dan legt de deelextensie het bestand daar ook neer, tot je de app de volgende keer opent; daarna neemt de app het over in haar eigen opslag. Tot dan is het in de appgroep uitgesloten van de back-up van het apparaat, mits je de app sinds de installatie al eens hebt geopend. De extensie toont niets uit je verzameling. Widgets op het beginscherm tonen hun inhoud zonder naar de app-vergrendeling te vragen; op het vergrendelscherm en in StandBy verbergt iOS de inhoud zolang het apparaat vergrendeld is. Een live-activiteit toont daar titel, timer en tellers van je trainingsdag. Gebruik je functies van Apple die widgets of live-activiteiten op andere apparaten tonen (zoals Mac, Apple Watch of CarPlay), dan draagt Apple de weergave daarheen over. Maak je een opdracht met een wapen, munitiesoort of termijn, dan bewaart de app Opdrachten de naam daarvan in de opdracht en synchroniseert die via iCloud als de iCloud-synchronisatie van Opdrachten aanstaat. Siri noemt termijnen en voorraden alleen als het apparaat ontgrendeld is. Wat je tegen Siri zegt, verwerkt Apple onder eigen verantwoordelijkheid volgens zijn privacyinformatie; de app formuleert haar antwoorden op het apparaat en geeft ze aan Siri door om ze uit te spreken. Of Siri daarbij inhoud naar Apple verstuurt, hangt af van je apparaat en je Siri-instellingen.

Spotlight-zoekfunctie (optioneel, alleen iOS)

Zet je onder Meer → Beveiliging de systeemzoekfunctie aan, dan onthoudt iOS fabrikant, model en kaliber van je wapens voor de Spotlight-zoekfunctie van het apparaat – ook zonder de app te openen en buiten de app-vergrendeling. De instelling staat standaard uit. Zet je haar weer uit of activeer je de app-vergrendeling, dan wordt de systeemindex leeggemaakt en niet meer gevuld. Rechtsgrond: art. 6, lid 1, onder a, AVG (toestemming door activering).

iCloud-back-up (optioneel, zonder account)

Activeer je de iCloud-back-up, dan legt de app versleutelde back-upbestanden in de iCloud Drive-container van je Apple ID (map “Waffenschrank”). Er wordt een back-up gemaakt van de database en van je foto’s en geüploade documenten; de bestanden staan daarbij afzonderlijk versleuteld naast de back-up. De versleuteling (AES-256-GCM) gebeurt op het apparaat; de sleutel is een willekeurige waarde die uitsluitend in je iCloud-sleutelhanger wordt bewaard en tussen je apparaten wordt gesynchroniseerd. Verantwoordelijk voor de opslag is Apple als aanbieder van je iCloud-account; wij ontvangen daarbij geen gegevens en hebben geen toegang tot de bestanden of de sleutel. Oudere back-ups ruimt de app daar volgens dezelfde regel op als de back-ups in het account (zie “Optioneel account, cloudback-up & sync”). Stel je de iCloud-back-up opnieuw in, dan verwijdert de app op jouw verzoek alle back-ups en bestanden in deze map en maakt ze een nieuwe sleutel aan; de gegevens op je apparaat blijven daarbij ongewijzigd. Rechtsgrond: art. 6, lid 1, onder a, AVG (toestemming door activering). Op iPhone en iPad kijkt de app bij de eerste start bovendien na of er in deze map al een back-up van je Apple ID staat – bijvoorbeeld na een herinstallatie –, ook als je de iCloud-back-up op dit apparaat nog niet hebt geactiveerd; iOS synchroniseert de map daarvoor zoals gewoonlijk met iCloud en laadt daarbij de versleutelde back-upbestanden al op het apparaat, zodat het terugzetten later niet hoeft te wachten. Vindt ze er, dan toont ze je bij elke back-up datum en grootte en – staat de sleutel al op het apparaat – het aantal items. Dat aantal staat versleuteld in de bestandsnaam; om het te lezen gebruikt de app de sleutel alleen voor deze opgave en opent ze de back-up daarvoor niet. Voorgesteld wordt de laatste volledige back-up, niet per se de nieuwste. Ontsleuteld en teruggezet wordt een back-up pas als je dat bevestigt, en wij ontvangen daarbij geen gegevens. Rechtsgrond voor dit nakijken: art. 6, lid 1, onder f, AVG (dat je na een herinstallatie bij je back-up kunt), voor de toegang tot je apparaat § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land (zie “Uitgangspunt”).

Google Drive-back-up op Android (optioneel, zonder account)

Activeer je op Android de back-up, dan legt de app versleutelde back-upbestanden in de privé-app-map (“appDataFolder”) van je Google Drive. Deze map is voorbehouden aan de app; andere apps en de Drive-interface hebben er geen toegang toe. Er wordt een back-up gemaakt van de database en van je foto’s en geüploade documenten; de bestanden staan daarbij afzonderlijk versleuteld naast de back-up. De versleuteling (AES-256-GCM) gebeurt op het apparaat; de sleutel is een willekeurige waarde en wordt bewaard via Google Block Store – end-to-end versleuteld en daardoor voor Google onleesbaar, mits je apparaat een schermvergrendeling heeft. Meldt het apparaat geen end-to-end-versleuteling, dan blijft de sleutel uitsluitend lokaal; dan leidt alleen je herstelcode terug naar de back-up. Verantwoordelijk voor de opslag is Google als aanbieder van je Google-account; wij ontvangen daarbij geen gegevens en hebben geen toegang tot de bestanden of de sleutel. De toegang is beperkt tot het recht “drive.appdata”; tot je overige Drive-inhoud heeft de app geen toegang. Oudere back-ups ruimt de app daar volgens dezelfde regel op als de back-ups in het account (zie “Optioneel account, cloudback-up & sync”). Stel je de back-up opnieuw in, dan verwijdert de app op jouw verzoek alle back-ups en bestanden in deze map en maakt ze een nieuwe sleutel aan; de gegevens op je apparaat blijven daarbij ongewijzigd. Rechtsgrond: art. 6, lid 1, onder a, AVG (toestemming door activering).

Optioneel account, cloudback-up & sync

Een account is vrijwillig. Inloggen kan met e-mailadres en wachtwoord, met een eenmalige code die je per e-mail krijgt, met “Inloggen met Apple” of met je Google-account. Bij “Inloggen met Apple” stuurt Apple ons een ID en je e-mailadres (of, als je het verbergt, een doorstuuradres van Apple); naar je naam vraagt de app niet. Om ervoor te zorgen dat we deze koppeling bij het verwijderen van je account bij Apple kunnen intrekken, zoals Apple vereist, bewaart de server een door Apple uitgegeven intrekkingstoken; dat wordt bij het verwijderen van het account ingewisseld en verwijderd. Bij Google ontvangen we een ID en je e-mailadres; Google stuurt daarbij ook naam en profielfoto mee, die onze server bij het opslaan weggooit. Voor het inlogproces bij zichzelf is de betreffende aanbieder verantwoordelijk.

Account-e-mails: de e-mails over je account – bevestiging van de registratie, inlog- en bevestigingscodes, bevestiging van een nieuw e-mailadres en beveiligingsmeldingen, bijvoorbeeld na een wachtwoordwijziging – worden aangemaakt door de inlogdienst van Supabase; verzonden worden ze via de verzenddienst Resend (Plus Five Five, Inc., VS – verwerker). Resend ontvangt daarvoor je e-mailadres en de e-mail zelf met code of link en legt vast wanneer die is verzonden en of de ontvangende mailserver hem heeft aangenomen of geweigerd. De e-mails worden verstuurd vanuit de EU-regio Ierland (eu-west-1); e-mails en afleverlogs worden volgens Resend echter in de VS opgeslagen. Voor deze doorgifte geldt het adequaatheidsbesluit voor het EU-VS-kader voor gegevensbescherming, waaronder Resend is gecertificeerd; daarnaast bevat ons contract met Resend de EU-standaardcontractbepalingen. E-mails en afleverlogs verwijdert Resend naar eigen zeggen na 30 dagen; in de back-ups van Resend blijven ze tot zeven dagen langer bestaan. Of je een e-mail opent of op een link erin klikt, laten we niet registreren. Weigert je mailbox een e-mail blijvend of meld je hem als spam, dan zet Resend je adres op de blokkeerlijst van ons verzendaccount, zodat er geen e-mail meer naartoe gaat; daar blijft het tot wij het verwijderen – op je verzoek op elk moment. Gegevens over het gebruik van zijn dienst, zoals afzender, ontvanger en afleverlogs, gebruikt Resend volgens het contract met ons ook onder eigen verantwoordelijkheid om misbruik op te sporen en zijn dienst te exploiteren; daarvoor geldt de privacyverklaring van Resend. Rechtsgrond: art. 6, lid 1, onder b, AVG (beschikbaar stellen van het account); voor de blokkeerlijst art. 6, lid 1, onder f, AVG (ons belang om account-e-mails betrouwbaar af te leveren).

Tweestapsverificatie (vrijwillig): zet je die aan, dan bewaart de inlogdienst van Supabase per authenticator de geheime sleutel waaruit de codes ontstaan (die is nodig om ze te controleren), de naam die je hem geeft, wanneer hij is aangemaakt en voor het laatst is gebruikt, en bij elke codecontrole tijdstip en IP-adres – uiterlijk tot je de authenticator verwijdert of je account verwijdert. Van je herstelcodes bewaren we in plaats van de code alleen een controlewaarde (hash) en wanneer hij is ingewisseld; ze worden verwijderd als je nieuwe aanmaakt of je account verwijdert, en zijn niet meer geldig zodra je de tweestapsverificatie uitzet. Inwisselpogingen – geslaagde én mislukte – leggen we per account vast als beveiliging tegen misbruik en verwijderen we na ruim een dag. Rechtsgrond: art. 6, lid 1, onder b, AVG (beschikbaar stellen van het account).

Cloudback-ups en de synchronisatie tussen apparaten zijn end-to-end versleuteld (AES-256-GCM; sleutelafleiding uit je beveiligingswachtwoord op het apparaat, PBKDF2 met 600.000 rondes). Wij kunnen deze inhoud niet ontsleutelen (zero-knowledge). Dat houdt stand zolang je beveiligingswachtwoord sterk is en niet hetzelfde als je accountwachtwoord: het accountwachtwoord gaat bij elke keer inloggen naar de server, het beveiligingswachtwoord nooit.

Onversleuteld ziet de server alleen de buitenkant: je e-mailadres en de taal voor e-mails over je account (die volgt de taal van de app), tijdstip en grootte van de back-upbestanden, aantal en grootte van de versleutelde foto- en documentbestanden en – bij de synchronisatie – 64 versleutelde vakken waarover de app je items verdeelt volgens een sleutel die alleen je apparaten kennen: hun tot grove stappen naar boven afgeronde grootte, hoe vaak en in welke volgorde ze zijn gewijzigd, en welke ingelogde sessies van je account deze vorm van synchronisatie ondersteunen. Daaruit valt ongeveer af te lezen hoe groot je verzameling in totaal is en wanneer je synchroniseert, maar niet welke onderdelen ze omvat, hoeveel items het zijn of wat erin staat. Zolang een ingelogd apparaat of een browser van je account nog een app-versie vóór 2.3 gebruikt, synchroniseert de app daarnaast in de vroegere vorm: dan ziet de server per record bij welke tabel en welke rij-ID het hoort, wanneer het voor het laatst is gewijzigd en geüpload, en de ID van het apparaat waarvan het afkomstig is – en daarmee hoeveel items je in welk onderdeel bijhoudt. Zodra alle ingelogde apparaten 2.3 of nieuwer gebruiken, verwijdert de app deze gegevens van de server; logt er weer een apparaat met een oudere versie in, dan maakt de app ze opnieuw aan. Verwijderde items blijven staan als versleutelde verwijdermarkering, de versleutelde bestanden van verwijderde foto’s eveneens – beide tot je het account verwijdert of de cloudgegevens reset. Daar komt bij wat de inlogdienst van Supabase zelf vastlegt: wanneer je voor het laatst hebt ingelogd; per ingelogd apparaat IP-adres en browser- of app-ID, zolang de sessie daar bestaat – die eindigt als je uitlogt of het account verwijdert, maar uiterlijk 30 dagen na het inloggen of na 14 dagen zonder gebruik (daarna log je opnieuw in), en de vermelding ervan verwijdert de inlogdienst volgens planning een dag later; een inloglogboek met IP-adressen dat we na 30 dagen verwijderen; en toegangslogs van het platform met tijdstip, IP-adres, opgevraagd adres, browser- of app-ID, een controlesom van de meegestuurde inlogsleutel, de bij benadering bepaalde locatie die de voorgeschakelde netwerkdienst van Supabase (Cloudflare) uit het IP-adres afleidt (land, stad, soms postcode, netwerkexploitant), technische kenmerken van de versleutelde verbinding en de inschatting van Cloudflare of het verzoek geautomatiseerd is, die Supabase na hoogstens 90 dagen verwijdert. Ter bescherming tegen misbruik telt de server voor enkele serverfuncties bovendien oproepen per IP-adres of account; daarvan wordt alleen een controlesom opgeslagen, die we uiterlijk twee uur na de eerste oproep verwijderen.

Vraagt een autoriteit of een rechter gegevens bij ons op, dan kunnen we alleen afgeven wat bij ons ligt: account-, aankoop- en buitenkantgegevens, gepubliceerde vitrines, bijdragen op verenigingspagina’s en feedback. De end-to-end versleutelde inhoud van synchronisatie en cloudback-up kunnen we niet ontsleutelen – ook niet op bevel –, en wat alleen op je apparaat, in je iCloud of in je Google Drive staat, hebben we niet. Persoonsgegevens verkopen we niet en we geven ze niet door voor reclamedoeleinden.

Zet je de automatische back-up aan, dan wordt je beveiligingswachtwoord in de beveiligde sleutelopslag van je apparaat bewaard (Keychain of Keystore), zodat de back-up zonder te vragen kan lopen; het wachtwoord verlaat het apparaat niet. Oudere cloudback-ups ruimt de app na elke geslaagde back-up zelf op: de zeven nieuwste blijven bewaard, plus de nieuwste van elk van de laatste zeven dagen met een back-up en telkens de nieuwste uit vier andere, oudere weken. Bevat een nieuwe back-up minder dan een vijfde van de inhoud van de laatste volledige back-up, dan houdt de app die volledige back-up extra bij – ongeacht van welk van je apparaten ze afkomstig is –, tot een back-up weer minstens een vijfde daarvan bevat; zo blijft na het per ongeluk leegmaken, na een herinstallatie en op een nieuw apparaat een volledige stand over. Daarvoor draagt elke back-up de inhoud in de bestandsnaam, versleuteld met de sleutel van de back-up; de server ziet geen getal. Bij back-ups van oudere app-versies zonder deze aanduiding vergelijkt de app de bestandsgroottes. Back-ups met een tijdstempel in de toekomst, bijvoorbeeld na een verkeerd ingestelde apparaatklok, verwijdert ze niet vanzelf. Hosting: Supabase (Supabase Pte. Ltd., Singapore – verwerker, EU-standaardcontractbepalingen); opgeslagen wordt in de EU-regio Frankfurt (eu-central-1). Voor support en beheer kan volgens Supabase ook Supabase, Inc. (VS) als subverwerker toegang krijgen; ook daarvoor gelden EU-standaardcontractbepalingen. Ook de serverfuncties van Supabase (Edge Functions) die de app vanaf versie 2.8, onze website en onze database aanroepen, draaien in Frankfurt; bij oudere app-versies draaien ze in het datacenter dat het dichtst bij je apparaat ligt – dat kan ook buiten de EU zijn; ook daarvoor gelden EU-standaardcontractbepalingen. Rechtsgrond: art. 6, lid 1, onder b, AVG (uitvoering van de overeenkomst). Zonder account maken we niets hiervan aan.

Maak je een account aan, publiceer je een vitrine, maak je een vereniging aan of word je er lid van, of stem je in de app in met de gebruiksvoorwaarden, dan bewaren we als bewijs met welke versie van de gebruiksvoorwaarden je hebt ingestemd en wanneer – samen met de ID van je account of je vitrine. Het bewijs wordt samen met het account of de vitrine verwijderd. Rechtsgrond: art. 6, lid 1, onder b, AVG (overeenkomst) en onder f (bewijs van het sluiten van de overeenkomst).

Vitrines (vrijwillig delen)

Publiceer je actief een vitrine, dan worden uitsluitend de door jou gekozen gegevens (incl. verkleinde foto’s van de gekozen objecten) onder een niet te raden adres openbaar toegankelijk. Serienummers, opslagplaatsen, voorraden, prijzen en vergunninggegevens zijn als gegevens technisch uitgesloten. Wat er op een foto te zien is, controleert de app niet: let er zelf op dat er geen serienummer en niets uit je woning te herkennen is; ingesloten locatiegegevens verwijdert de app vóór het uploaden. Een vitrine kan ook zonder account; sinds versie 3.5 laat de app bij het publiceren en vernieuwen bevestigen dat het verzoek van de echte app komt (zie “Controle van de app bij vitrines en contactformulier”).

We tellen hoe vaak een vitrine is bekeken en tonen je die teller; afzonderlijke bezoeken analyseren we niet. De vitrinepagina wordt geleverd via onze hostingdienstverlener Cloudflare, Inc. (verwerker, EU-standaardcontractbepalingen), die daarbij de technisch noodzakelijke verbindingsgegevens van de bezoekers verwerkt. De inhoud haalt de browser van de bezoeker rechtstreeks op bij onze server bij Supabase; daarbij ontstaan dezelfde toegangslogs en dezelfde misbruiktelling als beschreven onder “Optioneel account, cloudback-up & sync”. Om te voorkomen dat een gepubliceerde vitrine ongemerkt vervalt, vernieuwt de app haar hoogstens eens per maand zelf bij het opstarten. Ben je bij het publiceren of bij zo’n vernieuwing ingelogd, dan koppelen we de vitrine aan je account, zodat ze samen met het account wordt verwijderd. Je kunt elke vitrine op elk moment offline halen; de link wordt daardoor blijvend ongeldig. Eindigt Pro, dan worden extra vitrines die je vanaf versie 2.5 hebt gepubliceerd, gepauzeerd: onder hun adres staat dan alleen nog dat ze gepauzeerd zijn, en hun inhoud verwijderen we uiterlijk de volgende dag van de server. Om ervoor te zorgen dat dat ook geldt als je de app niet meer opent, stuurt de app bij het publiceren en bij elke vernieuwing van zo’n vitrine een termijn mee: het einde van de Pro-periode dat ze kent, plus 45 dagen, naar boven afgerond op een hele dag. Voor vitrines die volgens de vitrinevoorwaarden niet worden gepauzeerd, en bij de eenmalige aankoop is de termijn onbeperkt. We bewaren de termijn bij de vitrine – bij een vitrine zonder account alleen bij het adres ervan, niet bij een account. Is de termijn verstreken, dan pauzeren we de vitrine; is ze aan je account gekoppeld en heeft je account bij ons Pro, dan blijft ze online. Met Pro uploadt de app de inhoud opnieuw onder hetzelfde adres. Een gepauzeerde vitrine vernieuwt de app niet. De termijn verwijderen we samen met de vitrine. Rechtsgrond: art. 6, lid 1, onder a, AVG (toestemming); voor de termijn en de vergelijking met de Pro-status van je account art. 6, lid 1, onder b, AVG (omvang van Pro volgens onze gebruiksvoorwaarden); ten aanzien van de bezoekers art. 6, lid 1, onder f, AVG (leveren van de pagina en bescherming tegen misbruik).

Verenigingspagina’s

Maak je een verenigingspagina aan of word je er lid van, dan bewaren we daarvoor de naam van de vereniging, de toetredingscode, de account-ID’s van de deelnemers en de bijdragen die je uitdrukkelijk plaatst (bijvoorbeeld wedstrijdresultaten). Opgeslagen wordt bij onze hostingprovider Supabase (zie “Optioneel account, cloudback-up & sync”). Deze gegevens zijn niet end-to-end versleuteld – de beheerder van de vereniging moet ze kunnen lezen en vrijgeven. Wat hij vrijgeeft, publiceert hij als openbare pagina die iedereen met de link kan openen: naam van de vereniging en resultaten zonder namen, maar met discipline, niveau, jaar, klassering, aantal deelnemers en uitslag – in een kleine vereniging valt daaruit mogelijk af te lezen wie er bedoeld is. Publiceert of actualiseert de beheerder deze pagina, dan laat de app op iPhone, iPad en Android sinds versie 3.5 bevestigen dat het verzoek van de echte app komt (zie “Controle van de app bij vitrines en contactformulier”). Trek je een bijdrage in of verwijder je je account, dan haalt de server haar meteen ook van de openbare pagina. Je kunt je lidmaatschap op elk moment beëindigen. Rechtsgrond: art. 6, lid 1, onder a, AVG (toestemming).

Aankopen (Waffenschrank Pro)

Aankopen lopen via de App Store (Apple) of Google Play; de aankoopafhandeling verzorgt RevenueCat (RevenueCat Inc., VS – EU-standaardcontractbepalingen). De RevenueCat-SDK start pas als je de Pro-pagina opent, of – als dit apparaat al eens een aankoop heeft gestart, een code heeft ingewisseld of Pro via de store heeft herkend – bij het opstarten en bij het inloggen, om te controleren of Pro nog geldt; draait hij, dan kan hij tot het afsluiten van de app telkens opnieuw contact maken als je naar de app terugkeert. Sinds versie 2.2.1 kijkt de app op iPhone, iPad en Android bij het opstarten van een apparaat waarop ze nog geen aankoop kent, eerst in de App Store of bij Google Play op je apparaat na of je Apple- of Google-account Pro heeft gekocht – bijvoorbeeld bij een aankoop vóór versie 2.2, na een herinstallatie of, op iPhone en iPad, via Delen met gezin. Sinds versie 2.3 kijkt ze daar ook na telkens wanneer ze controleert of Pro geldt en Pro niet al kent van een aankoop op dit apparaat, en wanneer je op “Aankopen herstellen” tikt. De app controleert daarbij alleen of er tussen de aankoopvermeldingen van deze app een Pro-aankoop zit, en verzendt daarvoor zelf niets – niet naar ons en niet naar RevenueCat; of de store zijn aankoopgeschiedenis daarbij met Apple of Google synchroniseert, bepalen Apple en Google, niet wij. Tik je op “Aankopen herstellen”, antwoordt RevenueCat niet en is op je apparaat geen eenmalige aankoop te zien, dan vraagt de app op iPhone en iPad de App Store bovendien uitdrukkelijk om je aankopen met Apple te synchroniseren; daarbij kan Apple naar je Apple Account vragen. Vindt de app geen Pro-aankoop, dan gebeurt er verder niets. Vindt ze er een op een apparaat waarop ze nog geen aankoop kent, dan start de RevenueCat-SDK zoals hierboven beschreven. Bij een abonnement geldt Pro pas na het antwoord van RevenueCat. De eenmalige aankoop herkent de app sinds versie 2.3 al aan de vermelding in de store – zonder RevenueCat en zonder onze servers, zodat hij ook geldt als die niet bereikbaar zijn of niet meer bestaan; dat eindigt alleen als de store de aankoop zelf niet meer registreert, bijvoorbeeld na een terugbetaling. Draait de RevenueCat-SDK, dan gaan een aankoop-ID, je IP-adres en technische apparaatgegevens naar RevenueCat. De laatst bekende aankoopstatus en of de store de eenmalige aankoop registreert, bewaart de app op het apparaat, zodat Pro ook zonder opvraging geldt. Zonder account is deze ID een pseudonieme willekeurige ID: ze heeft geen verband met je naam of je e-mailadres, maar samen met IP-adres en apparaatgegevens kunnen de opvragingen van hetzelfde apparaat aan elkaar worden gekoppeld. Ben je ingelogd, dan wordt ze gekoppeld aan de ID van je account, zodat Pro op al je apparaten geldt. Apple en Google melden aankopen, verlengingen, opzeggingen en terugbetalingen bovendien rechtstreeks aan RevenueCat, ook als de app niet draait; hoort de aankoop bij je account, dan geeft RevenueCat dat door aan onze server. Gebeurtenissen bij een aankoop zonder account gebruikt onze server alleen voor een opgegeven herinneringsadres (zie “Herinnering vóór de verlenging”) en, op je verzoek, voor het beëindigen van een Google Play-abonnement (hieronder); in het logboek staan dan alleen tijdstip en soort van de gebeurtenis, zonder ID. Daarvoor legt onze server (Supabase, zie hierboven) bij je account vast of en tot wanneer Pro geldt en waar de ontgrendeling vandaan komt (bijvoorbeeld een aankoop in de store of een ingewisselde promotiecode), samen met de ID van de bijbehorende aankoop of welke promotiecode je wanneer hebt ingewisseld; de app vraagt dat op als je bent ingelogd. Heb je een abonnement bij Google Play en stap je over op de eenmalige aankoop, dan kun je vóór de aankoop kiezen dat we het abonnement daarna voor je beëindigen: de app geeft deze wens met tijdstip door aan RevenueCat – daar blijft hij bij je klantrecord staan tot je hem vóór de aankoop intrekt of het record wordt verwijderd – en onthoudt hem op het apparaat; is de eenmalige aankoop binnen, dan beëindigt onze server het abonnement rechtstreeks bij Google Play (voor Google Play is Google zelf verantwoordelijk): hij leest daarvoor bij RevenueCat het bestelnummer van het abonnement, vraagt deze bestelling op bij Google om er het aankooptoken uit te halen, en controleert de stand van het abonnement; daarvan wordt niets opgeslagen. Het abonnement wordt dan niet meer verlengd, de betaalde tijd blijft. Betaalgegevens ontvangen we nooit. Rechtsgrond: art. 6, lid 1, onder b, AVG (aankoop, toekennen van Pro en de stappen daarvoor die je zelf in gang zet); voor het nakijken in de store, voor zover je Pro niet hebt gekocht, art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om aankopen te herkennen zonder gegevens van niet-kopers aan RevenueCat te geven); voor het nakijken in de store van je apparaat en het opslaan van de aankoopstatus op het apparaat § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land (zie “Uitgangspunt”).

Verenigingsplaatsen: een vereniging kan op deze website Pro-plaatsen beschikbaar stellen aan haar leden en die via een uitnodigingslink verdelen. Wissel je een plaats in, dan log je daarvoor op de website in met je account en kies je een weergavenaam. We slaan op bij welk account de plaats hoort, de weergavenaam en de tijdstippen van het inwisselen en van je toestemming; van de uitnodigingslink alleen een controlesom. De beheerder van de vereniging ziet daarvan uitsluitend je weergavenaam en de datum van het inwisselen – nooit je e-mailadres, je bezit, je wapens of hoe je de app gebruikt. Hij kan de plaats intrekken, en je kunt haar op elk moment zelf teruggeven; dan verwijderen we de koppeling meteen, en bij je account blijft alleen de aantekening dat Pro uit de verenigingsplaats is beëindigd. Loopt de looptijd af zonder verlenging, dan verwijderen we de koppeling na 30 dagen. Van de vereniging slaan we de naam op, het aantal plaatsen, de looptijd, de ID van de aankoop en de account-ID van de beheerder. Rechtsgrond: art. 6, lid 1, onder b, AVG; dat de vereniging weergavenaam en datum ziet, berust op je toestemming bij het inwisselen (art. 6, lid 1, onder a, AVG), die je intrekt door de plaats terug te geven.

Dit geldt voor de app vanaf versie 2.2. Oudere versies melden zich bij elke start bij de aankoopafhandeling (RevenueCat) om de Pro-status te controleren.

Herinnering vóór de verlenging

Heb je Pro als jaar- of kwartaalabonnement via de App Store of Google Play afgesloten en is het gekoppeld aan je Waffenschrank-account, dan sturen we je ongeveer vijf weken vóór elke verlenging een e-mail (bij een aankoop in Amerikaanse dollars ook drie weken van tevoren, omdat het recht van meerdere Amerikaanse staten verschillende tijdstippen voorschrijft) met de datum, de prijs – voor zover die vaststaat –, de termijn en de manier om op te zeggen. Loopt de gratis proefperiode van een jaarabonnement dat je in Amerikaanse dollars hebt afgesloten nog, dan sturen we je in plaats daarvan drie tot vier dagen vóór het einde ervan een e-mail met de datum, de prijs daarna en de manier om op te zeggen, omdat meerdere Amerikaanse staten vóór het einde van een proefperiode een kennisgeving voorschrijven; in andere valuta herinnert alleen de app je aan het einde van de proefperiode. Je krijgt geen e-mail bij een maandabonnement, bij gebruik via Delen met gezin, zolang de store een mislukte afschrijving opnieuw probeert of als je het abonnement al hebt opgezegd. Daarvoor legt onze server (Supabase, zie hierboven) bij je account bovendien vast welk abonnement je via welke store hebt gekocht, welk bedrag in welke valuta je voor de lopende periode hebt betaald en of het een introductie- of speciale prijs was; deze gegevens stuurt RevenueCat ons bij elke aankoop en elke verlenging. Kort vóór het verzenden vraagt de server bij RevenueCat na of je abonnement echt wordt verlengd. De e-mail wordt verzonden via Resend, zoals beschreven onder “Account-e-mails” – met dezelfde gegevens over opslaglocatie, verwijdertermijnen en blokkeerlijst. Hij bevat niets uit je verzameling, en of je hem opent, laten we niet registreren. Om te voorkomen dat je hem dubbel krijgt, noteren we voor welke verlenging of voor welk einde van een proefperiode we hem hebben verstuurd – zonder e-mailadres en zonder inhoud van de e-mail; van de link om je af te melden bewaren we alleen een controlesom, zodat ook de link in een eerdere e-mail nog werkt. De aankoopgegevens verwijderen we zodra het jaar- of kwartaalabonnement bij je account eindigt (uiterlijk twee dagen daarna) of je je afmeldt voor de herinnering, de verzendnotitie en de controlesommen 13 maanden na de verlenging of de verzending, alles uiterlijk samen met je account. Je kunt je afmelden met “Afmelden” in je e-mailprogramma, met een antwoord op een van deze e-mails of met een bericht aan kontakt@waffenschrank.app; dan sturen we er geen meer en onthouden we dat tot je je account verwijdert. Andere e-mails over je account blijven daardoor onaangetast. Zonder account herinnert de app je met een melding (bij een aankoop in Amerikaanse dollars ook drie weken van tevoren), als je meldingen voor de app hebt toegestaan; krijg je geen melding en geen e-mail, dan toont de app je vanaf 45 dagen vóór de verlenging een mededeling op het tabblad “Overzicht”. Beide ontstaan op je apparaat, en de app stuurt daarvoor niets naar ons; een e-mail krijg je zonder account alleen als je daarvoor een adres opgeeft (volgende alinea). Rechtsgrond: art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om je tijdig vóór een afschrijving te informeren en daarmee ook de verplichtingen na te komen die het consumentenrecht van sommige landen – zoals Frankrijk, Italië, Spanje, België (vanaf mei 2027), Zweden, meerdere Amerikaanse staten en Canadese provincies – aan de aanbieder oplegt).

Herinnering per e-mail zonder account: heb je zo’n jaar- of kwartaalabonnement zonder Waffenschrank-account afgesloten, dan kun je in de app onder Pro vrijwillig een e-mailadres opgeven, alleen voor deze herinneringen – vóór elke verlenging en, bij een jaarabonnement in Amerikaanse dollars, vóór het einde van de proefperiode. Onze server (Supabase, zie hierboven) stuurt dan via Resend – zoals beschreven onder “Account-e-mails” – eerst een e-mail met een bevestigingslink; pas als je binnen 48 uur bevestigt, herinneren we je zoals hierboven beschreven, anders verwijderen we het adres na 48 uur. Opgeslagen worden daarvoor het adres, de taal van de app, de willekeurige ID waaronder RevenueCat je aankoop zonder account registreert, een controlesom van een willekeurige sleutel waarmee alleen jouw app de vermelding kan opvragen en verwijderen, de valuta waarin je het jaarabonnement op dit apparaat hebt gekocht (als de app die kent), de aankoopgegevens en verzendnotities zoals hierboven, en controlesommen van de links in onze e-mails. Bij het opgeven en vóór elke verzending vraagt de server bij RevenueCat onder deze ID na of je een jaar- of kwartaalabonnement uit de App Store of van Google Play hebt. Tegen misbruik tellen we de pogingen per ID, per adres en per IP-adres – alleen als controlesom, die we uiterlijk na twee uur verwijderen. Het adres gebruiken we voor niets anders – geen reclame, geen nieuwsbrief – en we koppelen het aan geen enkel account. Je kunt je op elk moment afmelden in de app, via de link in elk van deze e-mails, met “Afmelden” in je e-mailprogramma, met een antwoord op een van deze e-mails of met een bericht aan kontakt@waffenschrank.app; dan verwijderen we het adres met alle bijbehorende gegevens meteen. Eindigt je jaar- of kwartaalabonnement, dan verwijderen we alles uiterlijk twee dagen daarna; log je in de app in met een account, dan meldt de app het adres af, omdat de herinnering dan naar het adres van je account gaat. Rechtsgrond: art. 6, lid 1, onder a, AVG (je toestemming, die je geeft door het adres op te geven en het met de bevestigingslink als het jouwe te bevestigen; je kunt die op elk moment met werking voor de toekomst intrekken door je af te melden); voor de telling tegen misbruik art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om niemand ongewenste e-mails te sturen).

Crashrapporten (alleen met toestemming)

De app verzendt crashrapporten alleen met je toestemming; standaard staat dit uit. Op zijn vroegst drie dagen na de eerste start vraagt ze je één keer of ze crashrapporten mag verzenden; beide antwoorden wegen even zwaar, en daarna vraagt ze het niet opnieuw. Het bewijs van je antwoorden op deze en de onderstaande vragen (de laatste tien, elk met tijdstip, route en versie van de vraag) bewaart de app op het apparaat, zodat ze zich eraan houdt; het verlaat het apparaat niet. Je keuze geldt voor het apparaat waarop je haar maakt: back-ups nemen haar niet mee, en speel je er een terug, dan blijft de keuze op dit apparaat zoals ze is. Op een nieuw apparaat staan crashrapporten eerst uit, en de eenmalige vraag komt daar op zijn vroegst drie dagen na de eerste start op dat apparaat. Je keuze kun je op elk moment wijzigen onder Meer → Beveiliging. Heb je geen toestemming gegeven, dan vraagt de app na een crash of ze het rapport over precies die crash mag verzenden (zie hieronder). Dienstverlener is Sentry (Functional Software, Inc., VS – verwerker; de doorgifte berust op het adequaatheidsbesluit voor het EU-VS-kader voor gegevensbescherming, waaronder Sentry is gecertificeerd; daarnaast bevat ons contract met Sentry de EU-standaardcontractbepalingen); de rapporten gaan naar de EU-ingang in Duitsland. In versies vóór 2.5 laat de Sentry-bibliotheek op iPhone en iPad, zolang de rapporten aan staan, bovendien bij het opstarten en bij netwerkwisselingen de naam sentry.io opzoeken via de naamdienst (DNS) die je apparaat gebruikt, om te herkennen of er een netwerk is; het verzoek bevat geen rapport en geen inhoud uit de app, maar wie het beantwoordt (meestal je internet- of wifiprovider), kan zien dat vanaf je IP-adres naar deze naam wordt gevraagd, en wanneer. Vanaf versie 2.5 herkent de bibliotheek het netwerk zonder dit verzoek. Alleen in versies vóór 2.2.1 gaat er ook zonder deze toestemming een gegeven mee: is de app de vorige keer gecrasht, dan stuurt de updateopvraging bij de volgende start daar de bijbehorende foutmelding mee (zie “Wat er bij het opstarten gebeurt – ook zonder account”).

Een rapport bevat de foutmelding met de plek in het programma waar die optrad, app-versie, apparaatmodel, versie van het besturingssysteem, taal en tijdzone, en een sterk ingekort spoor van de laatste stappen: alleen schermwissels met gemaskeerde ID’s en netwerkopvragingen met ingekort adres. Schermtitels, invoer, console-uitvoer en je account-ID worden uitdrukkelijk weggefilterd, zodat inhoud van je verzameling niet in een rapport belandt. Uitgezonderd is de tekst van de foutmelding zelf: die gaat onverkort mee, omdat een fout zonder zijn melding niet te vinden is – in een enkel geval kan daarin een waarde uit je gegevens zitten. Sinds versie 2.2.1 bevat een rapport geen apparaat-ID meer: de ID die de Sentry-bibliotheek uit zichzelf toevoegt – op Android een willekeurige, blijvende ID van je installatie, op iPhone en iPad een controlesom uit de apparaat-ID van deze app en het apparaatmodel –, verwijdert de app vóór het verzenden, ook bij crashes in de native programmaonderdelen. Oudere versies sturen hem nog mee; hun rapporten zijn pseudoniem, kunnen dus aan elkaar worden gekoppeld, maar niet aan je account. Anoniem is ook een rapport zonder apparaat-ID niet: de dienstverlener ontvangt het om technische redenen met je IP-adres, en de foutmelding kan een waarde uit je gegevens bevatten. Een afzonderlijk verzonden rapport (zie hieronder) bevat dezelfde gegevens zonder het spoor van de laatste stappen.

Rechtsgrond: art. 6, lid 1, onder a, AVG; op elk moment intrekbaar. De intrekking werkt meteen: de app stopt de crashregistratie op hetzelfde moment, zonder herstart. Vastlopers en door het systeem beëindigde sessies registreert ze sowieso niet – alleen echte crashes: fouten waarna de app is afgesloten of in plaats van het scherm haar foutmelding toont. Als crash geldt ook een fout waarna de app niet verder bruikbaar is – bijvoorbeeld als de database bij het opstarten niet opent of na een update niet kan worden omgezet. Dan verzendt de app hoogstens één rapport per update en fout; daarin staat op de plaats van de foutmelding alleen een foutcode, en inhoud uit je verzameling bevat het niet. Zonder je toestemming geldt: toont de app haar foutscherm, dan vraagt ze daar of ze een rapport over deze fout mag verzenden; weiger je, dan bewaart ze niets. Crasht ze, dan bewaart ze op je apparaat een rapport – bij een fout in het JavaScript-deel de foutmelding (tot 1024 tekens), de plek in het programma, het tijdstip, de app- en systeemversie en het apparaattype, bij een crash in de native programmaonderdelen een samenvatting uit het crashlogboek dat iOS of Android sowieso bijhoudt (soort crash, aanroepstapel als geheugenadressen, tijdstip, app- en systeemversie, apparaattype). Er is hoogstens één zo’n rapport, het nieuwste; het staat in de gegevensmap van de app, is uitgesloten van de apparaatback-up en verlaat het apparaat niet uit zichzelf. Open je de app weer, dan vraagt ze of ze het mag verzenden; alleen dit ene rapport wordt verzonden, en de rechtsgrond is dan je toestemming (art. 6, lid 1, onder a, AVG). Na het verzenden of weigeren wist de app het, uiterlijk na 30 dagen. Weiger je twee keer achter elkaar, dan vraagt ze niet meer en bewaart ze niets meer; het vragen kun je ook zelf uitzetten onder Meer → Beveiliging. Voor het bewaren op het apparaat en het lezen van het crashlogboek: art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om je na een crash de keuze te geven of je het rapport verzendt) en § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land (zie “Uitgangspunt”).

Wat we van App Store en Google Play ontvangen

Apple en Google tonen ons samengevatte statistieken (zoals installaties, aankopen en actieve apparaten, ook uitgesplitst naar of iemand via een doorgegeven app-link of een link op onze website kwam), crashlogs van apparaten waarvan de eigenaar heeft ingestemd met delen met ontwikkelaars, bij testversies de feedback van testers met hun contactadres, en openbare beoordelingen met de daar gekozen naam, waarop we kunnen reageren. Deze gegevens verzamelen Apple en Google onder eigen verantwoordelijkheid; wij gebruiken ze om fouten op te lossen, vragen te beantwoorden en te zien langs welke wegen de app wordt gevonden. We koppelen ze niet aan je account. Rechtsgrond: art. 6, lid 1, onder f, AVG (foutoplossing, antwoorden op feedback en samengevatte bereikmeting).

Leeftijdsgegevens van App Store en Google Play

Enkele Amerikaanse staten verplichten apps die via een appstore worden verspreid, de leeftijdsgegevens van de store op te vragen en er rekening mee te houden. Sinds versie 2.5 vraagt de app daarom op iPhone en iPad (vanaf iOS 26.2) de App Store van Apple (“Declared Age Range”) en op Android Google Play (“Play Age Signals”) om de leeftijdscategorie die de store bij je Apple- of Google-account registreert – bij de eerste start, daarna hoogstens eens per twaalf maanden en telkens wanneer je een account aanmaakt. Op iPhone en iPad vraagt ze alleen als het systeem meldt dat zulke regels voor je Apple Account gelden; op Android vraagt ze alleen als je in de app de VS als land hebt gekozen. De app krijgt daarbij nooit je geboortedatum te zien en kijkt alleen of je volgens de store jonger dan 18 of minstens 18 jaar oud bent. Meldt de store dat je jonger dan 18 bent, dan blokkeert de app het aanmaken van een account, het publiceren van een vitrine, bij verenigingspagina’s het openen, het lid worden en het indienen van resultaten, en de aankoop van Pro; ontstaat er in dat geval bij het inloggen met Apple of Google een nieuw account, dan verwijdert de app het meteen weer. Lukt dat niet, bijvoorbeeld zonder verbinding, dan verwijdert onze server zo’n account in een dagelijkse run op zijn vroegst drie dagen na het aanmaken, doorgaans binnen nog een dag, en via dezelfde weg als “Account verwijderen”. Voorwaarde is dat je na de eerste tien minuten er niet meer mee ingelogd bent geweest en dat het geen inhoud en geen aankoop bevat; is aan een van deze voorwaarden niet zeker voldaan, dan blijft het bestaan, en verwijderen we het op je verzoek aan kontakt@waffenschrank.app. Met een bestaand account kun je nog steeds inloggen; de app op je apparaat blijft bruikbaar, en van je gegevens wordt niets verwijderd. Het resultaat staat alleen tot het afsluiten van de app in het werkgeheugen: het wordt niet opgeslagen en niet naar ons of anderen verzonden, ook niet met crashrapporten. Op het apparaat wordt alleen het tijdstip van de laatste opvraging opgeslagen, zodat de app niet vaker vraagt dan toegestaan; het wordt samen met de app verwijderd. Hoe Apple en Google je leeftijd vaststellen en of ze je daarvoor om toestemming vragen, beslissen zij onder eigen verantwoordelijkheid. Rechtsgrond: art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om account, vitrine, verenigingspagina en Pro alleen voor volwassenen open te stellen en de wetten na te leven waar de app wordt aangeboden); voor de opvraging bij de store van je apparaat en het opslaan van het tijdstip § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land (zie “Uitgangspunt”).

Contact & probleem melden

Gebruik je het contactformulier, dan verwerken we je bericht, de gekozen categorie, optioneel je e-mailadres (voor vragen) en – als je het vinkje laat staan – technische gegevens: app-versie, update-ID, distributiekanaal, platform en versie van het besturingssysteem. Feedback wordt opgeslagen bij onze hostingprovider Supabase (zie “Optioneel account, cloudback-up & sync”); sinds versie 3.5 laat de app bij het verzenden bevestigen dat het bericht van de echte app komt, en daarvan wordt niets bij de feedback opgeslagen (zie “Controle van de app bij vitrines en contactformulier”). Ben je ingelogd, dan wordt de ID van je account mee opgeslagen, zodat we je vraag kunnen toewijzen. Om ervoor te zorgen dat we feedback snel kunnen lezen en je direct kunnen antwoorden, stuurt onze server die via de verzenddienst Resend (zie “Account-e-mails”) als e-mail naar onze mailbox kontakt@waffenschrank.app – met categorie, bericht en tijdstip, met het platform als je de technische gegevens meestuurt, en met je e-mailadres als antwoordadres, als je er een opgeeft. De overige technische gegevens en de ID van je account gaan niet mee. Resend verwijdert deze e-mail na 30 dagen (in zijn back-ups tot zeven dagen later); in onze mailbox geldt ervoor hetzelfde als onder “Als je ons schrijft”. Geef je een e-mailadres op, dan vraagt de app onze server (Supabase) al vóór het verzenden – kort nadat je het adres hebt ingetikt of een concept met adres hebt geopend, dus ook als je het bericht nooit verstuurt – of het domein ervan (alleen het deel na de @) e-mails kan ontvangen, zodat we je op een tikfout kunnen wijzen; de server ontvangt daarbij zoals bij elke opvraging je IP-adres, zoekt het domein op in de naamdienst (DNS) en slaat het domein niet op en legt het niet vast in een logboek. Rechtsgrond: art. 6, lid 1, onder f, AVG (behandeling van je vraag), bij ingelogde gebruikers tevens art. 6, lid 1, onder b, AVG. Feedback verwijderen we uiterlijk twaalf maanden na ontvangst, met je account ook eerder.

Controle van de app bij vitrines en contactformulier

Vitrines en het contactformulier werken zonder account en trekken daarom misbruik aan, bijvoorbeeld andermans of onrechtmatige afbeeldingen onder ons adres of massaal berichten naar onze mailbox. Sinds versie 3.5 laat de app daarom op iPhone, iPad en Android bevestigen dat zo’n verzoek afkomstig is van een ongewijzigde Waffenschrank-app op een echt apparaat: wanneer je een vitrine publiceert of de app die vernieuwt, wanneer je als beheerder een verenigingspagina publiceert of bijwerkt en wanneer je het contactformulier verstuurt. Daarvoor haalt de app bij onze server (Supabase, zie “Optioneel account, cloudback-up & sync”) een willekeurige waarde op die vijf minuten geldig is en één keer kan worden ingewisseld; daarbij ontstaan dezelfde toegangslogs, en hoeveel van zulke willekeurige waarden een IP-adres kan ophalen, beperkt de server met dezelfde misbruiktelling, beide zoals beschreven onder “Optioneel account, cloudback-up & sync”. In de bevestiging gaan behalve die waarde alleen controlesommen mee – bij een vitrine of verenigingspagina die van haar adres, bij het contactformulier die van je bericht –, nooit de inhoud zelf. Op iPhone en iPad gebruikt de app daarvoor App Attest van Apple: de eerste keer maakt het apparaat in zijn beveiligingschip een sleutel aan die het niet verlaat en laat die eenmaal door Apple bevestigen; Apple telt daarbij naar eigen zeggen hoeveel van zulke sleutels voor de app op je apparaat zijn bevestigd. Daarna ondertekent het apparaat elk verzoek zelf, zonder Apple te vragen. De ID van de sleutel bewaart de app in de sleutelhanger van dit apparaat, zonder iCloud-synchronisatie; daar kan hij ook na het verwijderen van de app blijven staan, maar is dan nutteloos. Onze server slaat de ID en het openbare deel van de sleutel op met een teller en de dag van het laatste gebruik – zonder verband met je account, je IP-adres, je vitrine of je bericht – en verwijdert ze 90 dagen na het laatste gebruik. Op Android vraagt de app Google Play op je apparaat om de bevestiging (Play Integrity). Google Play controleert daarvoor volgens Google je apparaat, de app en de licentiestatus ervan bij Google Play en geeft een versleuteld antwoord terug; waarvoor Google Play daarbij gegevens verwerkt, valt onder de verantwoordelijkheid van Google (Google Ireland Limited) volgens zijn voorwaarden. Onze server laat het antwoord ontsleutelen door Google LLC (VS – de doorgifte berust op het adequaatheidsbesluit voor het EU-VS-kader voor gegevensbescherming, waaronder Google is gecertificeerd) en leest daaruit alleen of het bij dit verzoek hoort, of Google Play de app herkent en of het apparaat de controle doorstaat; daarvan wordt niets opgeslagen. De uitkomst van de controle krijgt de app als eenmalig toegangsbewijs dat tien minuten geldig is; de app stuurt het mee met de vitrine of het bericht en de server verwijdert het bij het inwisselen. Er wordt alleen geteld hoeveel controles per week, route en platform geldig, ongeldig of zonder bevestiging waren en om welke reden, zonder ID; deze cijfers bewaren we 13 maanden. Ontbreekt een geldige bevestiging – bijvoorbeeld in de web-app, in appversies vóór 3.5, op apparaten zonder deze functie of zonder Google Play-services –, dan kan de server de vitrine of het bericht weigeren of strenger beperken; per e-mail bereik je ons altijd op kontakt@waffenschrank.app. Op dit moment telt hij alleen en weigert niets. Is de controle op onze server uitgeschakeld, dan vraagt de app noch Apple noch Google. Rechtsgrond: art. 6, lid 1, onder f, AVG (ons gerechtvaardigd belang om vitrines en mailbox tegen misbruik te beschermen); voor het aanmaken en gebruiken van de sleutel, het bewaren van zijn ID en de vraag aan Google Play, § 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land, zie “Uitgangspunt”.

Als je ons schrijft

Schrijf je ons op kontakt@waffenschrank.app, dan verwerken we je e-mailadres, je naam, voor zover je die opgeeft, en de inhoud van je bericht om je te antwoorden (art. 6, lid 1, onder f, AVG; gaat het om een overeenkomst met ons, onder b). Onze mailbox wordt beheerd door Microsoft (Microsoft Ireland Operations Limited, verwerker; voor doorgiften aan Microsoft Corporation in de VS geldt het adequaatheidsbesluit voor het EU-VS-kader voor gegevensbescherming; daarnaast bevat ons contract met Microsoft de EU-standaardcontractbepalingen). E-mails verwijderen we zodra je vraag is afgehandeld, uiterlijk twaalf maanden na ontvangst – tenzij het handels- of belastingrecht een langere bewaring vereist (tot zes respectievelijk tien jaar).

Meldingen volgens de digitaledienstenverordening (Verordening (EU) 2022/2065, DSA): meld je ons inhoud in een vitrine of op een verenigingspagina, dan verwerken we de gegevens van je melding – waaronder naam en e-mailadres – om die te beoordelen en je ons besluit mee te delen (art. 6, lid 1, onder c, AVG juncto art. 16 DSA). Wie de inhoud heeft geplaatst, krijgt je naam niet van ons te horen, tenzij we daartoe wettelijk verplicht zijn. Naam en e-mailadres uit een melding verwijderen we zes maanden na ons besluit; het besluit zelf – welke inhoud, wanneer, waarom – bewaren we tot het einde van het derde jaar daarna, om het te kunnen aantonen (art. 6, lid 1, onder f, AVG).

Invullen vanuit winkellinks

Plak je een winkellink en laat je de gegevens daaruit invullen, dan roept je apparaat die externe pagina rechtstreeks zelf op – zonder omweg via ons. De winkel komt daarbij, zoals bij elk paginabezoek, je IP-adres te weten en welke pagina je opvraagt; op zijn gegevensverwerking hebben we geen invloed, en we ontvangen er niets van. Rechtsgrond: art. 6, lid 1, onder a, AVG (toestemming door het starten).

Hoe lang we iets bewaren

Wat op je apparaat staat, blijft daar tot je het verwijdert – we hebben er geen toegang toe en kunnen het niet inzien of verwijderen. Vóór een update die de database ombouwt, en vóór het terugzetten van een back-up maakt de app op het apparaat een kopie van je database, zodat een mislukking ongedaan kan worden gemaakt; die kopie is uitgesloten van de apparaatback-up. Wat je afzonderlijk verwijdert, staat daar nog in tot de kopie vervalt: de kopie vóór het terugzetten verwijdert de app na zeven dagen, van de kopieën vóór updates houdt ze de twee jongste. In de web-app geldt dat slechts beperkt: zolang de browser geen blijvende opslag heeft toegezegd, kan hij de gegevens bij opslagtekort of langere tijd zonder gebruik uit zichzelf verwijderen – Safari bijvoorbeeld als de pagina zeven dagen lang niet is geopend. De web-app vraagt de browser om blijvende opslag en toont je of hij die heeft toegezegd; een regelmatige back-up vervangt dat niet. Om ook zonder netwerk te kunnen starten, legt de web-app haar eigen programmabestanden (code, lettertypen, afbeeldingen) via een service worker in de opslag van je browser; inhoud van je verzameling of gegevens over jou zitten daar niet in, en een nieuwe versie ruimt de oude op (§ 25 Abs. 2 Nr. 2 TDDDG of de overeenkomstige bepaling van je land, zie “Uitgangspunt”). Wat bij een account hoort, blijft zolang het account bestaat: verwijder je het, dan verdwijnen in dezelfde handeling de back-upbestanden, de synchronisatiegegevens, je vitrines – voor zover ze bij je account horen of zijn gepubliceerd op het apparaat waarop je verwijdert –, je bijdragen op verenigingspagina’s en je feedback aan ons. Tegelijk verwijderen we je klantrecord bij RevenueCat; aankoopbewijzen en facturen blijven waar ze zijn uitgegeven (Apple of Google), zolang het belastingrecht dat vereist. Mislukt het verwijderen bij RevenueCat bij uitzondering, dan blijft de aankoopgeschiedenis daar onder je account-ID staan tot je ons vraagt die te verwijderen (kontakt@waffenschrank.app). Wat we in de database verwijderen, verdwijnt pas uit de back-ups van onze hostingprovider als die verlopen: Supabase maakt dagelijks een back-up van de database en bewaart elke back-up in het huidige pakket zeven dagen. Tot dan staat daarin nog wat vóór het verwijderen in de database stond – bijvoorbeeld je e-mailadres, de versleutelde synchronisatiegegevens, vitrines, verenigingsbijdragen en feedback; de back-up-, foto- en documentbestanden horen daar niet bij. Dat geldt evengoed voor alles wat je afzonderlijk verwijdert. Op deze back-ups grijpen we alleen terug om de dienst na een ernstige fout te herstellen.

Daarnaast gelden vaste termijnen. Oudere cloudback-ups ruimt de app zelf op volgens de hierboven genoemde regel. Een gepubliceerde vitrine wordt twaalf maanden na de laatste vernieuwing automatisch verwijderd; zolang je de app gebruikt, vernieuwt de app een actieve vitrine hoogstens eens per maand, een gepauzeerde helemaal niet. Is de termijn van een extra vitrine verstreken (zie “Vitrines”), dan verwijderen we bij de volgende dagelijkse run haar inhoud van de server. Een account dat sinds 14 oktober 2026 met Apple of Google is aangemaakt, waarmee na de eerste tien minuten niemand meer ingelogd is geweest, dat geen inhoud en geen aankoop bevat en waarvoor geen toestemming voor de gebruiksvoorwaarden is opgeslagen, verwijderen we op zijn vroegst drie dagen na het aanmaken (gebruiksvoorwaarden nr. 4, lid 1, onder b). De controlesommen van de misbruiktelling verwijderen we uiterlijk twee uur na de eerste oproep; ze worden gevormd met een dagelijks nieuw aangemaakte sleutel die we na een dag verwijderen, zodat daarna uit de controlesommen noch IP-adres noch account kan worden teruggerekend. Van de controle van de app bij vitrines en contactformulier verwijderen we de sleutels van iPhone en iPad 90 dagen na hun laatste gebruik, de willekeurige waarden en eenmalige toegangsbewijzen zodra ze zijn ingewisseld, uiterlijk 30 minuten na uitgifte, en de weektellingen zonder ID na 13 maanden. Van de aankoopsynchronisatie blijft een logboek over tijdstip en soort van de gebeurtenis met account-ID – zonder prijzen, zonder e-mailadres – 30 dagen bewaard. Feedback verwijderen we uiterlijk twaalf maanden na ontvangst, met je account ook eerder. Crashrapporten verwijdert onze dienstverlener Sentry na de daar ingestelde bewaartermijn, uiterlijk 90 dagen na ontvangst van het rapport. De servers die onze website en de web-app leveren (Cloudflare, Inc. – verwerker, EU-standaardcontractbepalingen), verwerken bij het leveren onvermijdelijk de verbindingsgegevens van elke opvraging, waaronder IP-adres, browser-ID en geschatte locatie. Een logboek van de afzonderlijke opvragingen laten we daar niet bijhouden; geteld worden alleen overstappen naar een store, zonder IP-adres (zie “Deze website”). Daar worden hoogstens foutmeldingen van onze serverprogramma’s bewaard, voor hoogstens zeven dagen; verbindingsgegevens schrijven de programma’s er niet in. Weert een beveiligingsregel van Cloudflare een verzoek af als aanval, dan kan Cloudflare dat als beveiligingsgebeurtenis met IP-adres vastleggen, voor de duur die Cloudflare daarvoor hanteert. Rechtsgrond: art. 6, lid 1, onder f, AVG (exploitatie, beveiliging en foutopsporing). De updatedienst en de catalogusopvraging van de app schrijven zulke logboeken niet.

Deze website

Bij een bezoek aan waffenschrank.app verwerkt onze hostingdienstverlener Cloudflare, Inc., VS (als verwerker, EU-standaardcontractbepalingen) technisch noodzakelijke verbindingsgegevens (IP-adres, tijdstip, opgevraagde bron) om de pagina te leveren en te beveiligen; er wordt geleverd vanuit het wereldwijde netwerk van Cloudflare, niet vanaf een server op een vaste plek. Zodat de pagina prijzen in je landsvaluta en de passende taal kan voorstellen, geeft Cloudflare haar het land door vanwaar je haar opent en de talen van je browser; geen van beide slaan we op. Rechtsgrond: art. 6, lid 1, onder f, AVG. Zelf plaatsen we geen cookies en sluiten we geen lettertypen, scripts of afbeeldingen van externe servers in. Welke store de pagina je voorstelt – via de storeknoppen of via de QR-code op de computer (waffenschrank.app/app) –, bepaalt alleen het apparaattype dat je browser sowieso meestuurt (bijvoorbeeld Android of iPhone). Via de storeknoppen bovenaan veel pagina’s en via de QR-codes tellen we bovendien hoe vaak iemand naar een store overstapt: opgeslagen worden alleen de pagina of het paginatype waar de klik vandaan kwam, de taal- of landversie ervan, of de weg via een storeknop of een QR-code liep, de doelstore, het tijdstip en of de opvraging eruitzag als van een geautomatiseerd programma zoals een zoekmachine – geen IP-adres, geen apparaat- of browser-ID, geen cookie, niets wat naar jou terug te voeren is. De telling staat bij Cloudflare, wordt na drie maanden verwijderd en niet doorgegeven; ze laat ons zien welke pagina’s lezers naar de app leiden. Rechtsgrond is ook hier art. 6, lid 1, onder f, AVG; op je apparaat wordt hiervoor niets opgeslagen. De verwijzingen naar de App Store en naar Google Play dragen bovendien een kenmerk van de pagina of het paginatype waar ze vandaan komen (bijvoorbeeld “web-start”), dat voor alle bezoekers gelijk is; aan de hand van dat kenmerk laten Apple en Google ons in hun samengevatte statistieken zien via welke pagina’s de app wordt gevonden. Wat Apple en Google verwerken wanneer je hun storepagina opent, daarvoor zijn zij zelf verantwoordelijk. In je browser blijven hooguit twee dingen staan: je taalkeuze, zodat het taalvoorstel niet terugkomt, en – alleen als je daar “Auf diesem Gerät merken” (onthoud op dit apparaat) kiest – de gegevens die je in de WBK-invulhulp invoert (WBK: de Duitse Waffenbesitzkarte, een wapenbezitsbewijs); zonder die keuze gelden ze alleen tot je het tabblad sluit. Onthouden gegevens wist de invulhulp bij de eerstvolgende keer openen als je laatste invoer langer dan 30 dagen geleden is. Beide verlaten je browser niet; je verwijdert ze door de websitegegevens te wissen.

Op de pagina’s voor verenigingsplaatsen (waffenschrank.app/verein) log je in met je account. Je browser spreekt daarvoor rechtstreeks met onze server bij Supabase (dezelfde als bij het account, zie hierboven); log je in met Google, dan leidt de pagina je daarvoor naar Google en terug. De login, een uitnodigingslink tot aan het inwisselen en bij de Google-login een eenmalige controlewaarde staan alleen in de sessieopslag van je browser en verdwijnen zodra je het tabblad sluit; cookies plaatsen we ook daar niet.

Onze aanwezigheid op sociale netwerken

Waffenschrank heeft een profiel op Instagram (instagram.com/waffenschrank.app). Website en app sluiten niets van Instagram in – geen knoppen, geen ingesloten berichten, geen telpixels. Onze links daarheen zijn gewone verwijzingen: pas wanneer je er een volgt of Instagram zelf opent, verwerkt de exploitant je gegevens, volgens zijn eigen voorwaarden – ook voor eigen doeleinden zoals reclame en ook als je daar geen account hebt. Die verwerking bepaalt de exploitant; waar wij daarvoor mede verantwoordelijk kunnen zijn, staat in de alinea over Instagram.

Wat we daar zelf verwerken: wat je ons schrijft (reacties, vermeldingen, directe berichten), of je ons volgt of op berichten reageert, je profielnaam en wat je profiel openbaar toont, voor zover we dat daarbij zien. Dat gebruiken we om je te antwoorden en ons profiel te beheren. Rechtsgrond is ons gerechtvaardigd belang om te informeren over Waffenschrank en in gesprek te zijn met geïnteresseerden en gebruikers (art. 6, lid 1, onder f, AVG); betreft je bericht een overeenkomst met ons, bijvoorbeeld een aankoop, dan art. 6, lid 1, onder b, AVG. Met je Waffenschrank-account koppelen we dat alleen als je ons daarom vraagt. Gesprekken verwijderen we aan onze kant uiterlijk twaalf maanden na het laatste bericht, voor zover het netwerk dat toelaat; wat je zelf hebt geschreven, kun je daar meestal zelf verwijderen, en het netwerk bewaart gegevens volgens zijn eigen termijnen.

Instagram: exploitant voor gebruikers in de EU is Meta Platforms Ireland Limited (Dublin, Ierland). Voor ons profiel maakt Meta statistieken (“Insights”) – bijvoorbeeld hoeveel mensen het profiel en onze berichten zien en ermee interacteren, uitgesplitst naar kenmerken als leeftijdsgroep, geslacht of plaats. Wij zien daarvan alleen samengevatte cijfers, geen individuele personen. Voor deze statistieken kunnen we samen met Meta gezamenlijk verwerkingsverantwoordelijk zijn (art. 26 AVG; arrest van het Hof van Justitie van de EU van 5 juni 2018, C-210/16). Meta heeft hiervoor een overeenkomst gepubliceerd (facebook.com/legal/terms/page_controller_addendum); daarin neemt Meta de hoofdverantwoordelijkheid op zich, ook voor de informatieplicht volgens art. 13 AVG en voor de nakoming van je rechten. De overeenkomst is toegesneden op Facebook-pagina’s; of ze ook Instagram-profielen omvat, laat de tekst open. We gaan daarom voorzichtigheidshalve uit van gezamenlijke verantwoordelijkheid. Onze rechtsgrond voor de statistieken is het gerechtvaardigd belang om het bereik van ons profiel te begrijpen en het te verbeteren (art. 6, lid 1, onder f, AVG). Je rechten kun je bij Meta en bij ons uitoefenen; nakomen kan ze het best Meta, omdat alleen Meta de gegevens van de bezoekers heeft waaruit de statistieken ontstaan – verzoeken aan ons sturen we door naar Meta. Meta draagt gegevens ook over aan Meta Platforms, Inc. in de VS, die onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework) is gecertificeerd; daarvoor geldt het adequaatheidsbesluit van de Europese Commissie (art. 45 AVG). Hoe Meta gegevens verwerkt: privacycenter.instagram.com/policy.

Voor personen in Zwitserland

Woon je in Zwitserland, dan geldt voor jou bovendien de Zwitserse wet op gegevensbescherming (Datenschutzgesetz, DSG). Persoonsgegevens maken wij of onze dienstverleners bekend in het buitenland (Art. 19 Abs. 4 DSG), namelijk in Duitsland, Ierland en andere staten van de EU of de EER die volgens bijlage 1 van de verordening op gegevensbescherming (Datenschutzverordnung, DSV) een passende bescherming waarborgen; in de VS; in Singapore; en via het wereldwijde netwerk van Cloudflare in andere staten.

In de VS is de bescherming volgens bijlage 1 DSV alleen passend bij ondernemingen die zijn gecertificeerd onder het Swiss-U.S. Data Privacy Framework. Volgens de openbare lijst (gecontroleerd op 5 oktober 2026) zijn dat Cloudflare, Inc., Functional Software, Inc. (Sentry), Google LLC, Microsoft Corporation en – voor ons profiel op Instagram – Meta Platforms, Inc. Plus Five Five, Inc. (Resend) is alleen gecertificeerd onder het EU-U.S. Data Privacy Framework, RevenueCat, Inc. helemaal niet. Voor deze twee, voor Supabase Pte. Ltd. in Singapore en Supabase, Inc. in de VS (je gegevens staan in Frankfurt, maar toegang vanuit Singapore en de VS is mogelijk) en voor staten buiten bijlage 1 in het netwerk van Cloudflare baseren we de bekendmaking op de standaardcontractbepalingen van de Europese Commissie met de aanpassingen voor Zwitserland die de Zwitserse federale toezichthouder voor gegevensbescherming en openbaarheid (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB) heeft erkend (Art. 16 Abs. 2 lit. d DSG).

Voor App Store en iCloud is tegenover gebruikers in Zwitserland Apple Distribution International Ltd. (Ierland) verantwoordelijk, voor Google Play, het inloggen met Google en Google Drive Google Ireland Limited; wat deze aanbieders zelf naar andere staten doorgeven, valt onder hun voorwaarden. Je rechten volgens de DSG doe je bij ons gelden (kontakt@waffenschrank.app); je kunt je ook tot de EDÖB wenden.

Je rechten

Je hebt recht op inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid van gegevens en bezwaar (art. 15–21 AVG) en het recht om een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming, met name in de EU- of EER-lidstaat waar je woont of werkt (art. 77 AVG); bevoegd voor ons is de Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (de toezichthouder voor gegevensbescherming van de deelstaat Brandenburg). Accountgegevens kun je in de app verwijderen; lokale gegevens verwijder je door de app te verwijderen of via de export- en verwijderfuncties. Back-ups in iCloud of Google Drive blijven daarbij bestaan: verwijder ze vooraf in de app onder “Cloudback-up” of later in de opslaginstellingen van je Apple- of Google-account (bij Google Drive in de browser onder Instellingen → Apps beheren, daar de verborgen app-gegevens van Waffenschrank). Hoe dat gaat – in de app of zonder – staat op de pagina Account verwijderen (in het Engels).

Waar we ons op je toestemming baseren – Spotlight-zoekfunctie, iCloud- en Drive-back-up, vitrines, verenigingspagina’s, verenigingsplaatsen, invullen vanuit winkellinks en crashrapporten –, kun je die op elk moment met werking voor de toekomst intrekken (art. 7, lid 3, AVG): door de functie uit te zetten, de vitrine offline te halen, de verenigingspagina te verlaten of de plaats terug te geven. Wat tot dan rechtmatig is verwerkt, blijft daardoor onaangetast. Je toestemming voor de herinnering per e-mail zonder account trek je in door het adres af te melden (zie “Herinnering vóór de verlenging”).

Recht van bezwaar (art. 21 AVG): waar we gegevens verwerken op basis van gerechtvaardigde belangen (art. 6, lid 1, onder f, AVG) – bij de updateopvraging, bij de catalogusopvraging, bij het nakijken in de store van je apparaat of je Pro hebt gekocht, bij het zoeken naar een iCloud-back-up bij de eerste start, bij het opvragen van de leeftijdsgegevens van de store, bij de controle van de app bij vitrines en contactformulier, bij de tips over Pro-functies, bij het bewaren van een crash op je apparaat, totdat je beslist of je het rapport verzendt, bij het leveren van onze website en bij het tellen van de overstappen naar een store, bij het leveren van vitrines aan hun bezoekers, bij wat we van App Store en Google Play over de app ontvangen, bij berichten via het contactformulier of per e-mail, bij de blokkeerlijst voor account-e-mails, bij de herinnering vóór de verlenging van je jaar- of kwartaalabonnement, bij de bescherming tegen misbruik van het herinneringsadres, bij het bewaren van onze besluiten over meldingen volgens de digitaledienstenverordening en bij het bewijs van je toestemming voor de gebruiksvoorwaarden –, kun je op elk moment bezwaar maken om redenen die verband houden met je specifieke situatie; een vormvrij bericht aan kontakt@waffenschrank.app volstaat. We verwerken de gegevens dan niet meer, tenzij we dwingende gerechtvaardigde gronden aantonen die zwaarder wegen dan je belangen, of de verwerking verband houdt met de instelling, uitoefening of onderbouwing van een rechtsvordering. Update- en catalogusopvraging, het nakijken in de store, het opvragen van de leeftijdsgegevens en de controle van de app kan de app zelf niet uitschakelen; ze zijn alleen te vermijden door de app niet meer te gebruiken – de controle van de app ook door geen vitrine en geen verenigingspagina te publiceren, je gepubliceerde vitrines offline te halen (anders ververst de app ze zelf) en ons per e-mail te schrijven in plaats van via het contactformulier. Voor de herinnering vóór de verlenging kun je je bovendien op elk moment zonder opgave van redenen afmelden (zie “Herinnering vóór de verlenging”). Tegen de tips over Pro-functies kun je bovendien op elk moment en zonder opgave van redenen bezwaar maken (art. 21, lid 2, AVG), het eenvoudigst door ze in je profiel onder “Tips over Pro-functies” uit te schakelen. Het bewaren van een crash zet je uit onder Meer → Beveiliging met “Na crash vragen”.

Digitale nalatenschap: je kunt ons per e-mail aan kontakt@waffenschrank.app laten weten wat er na je overlijden moet gebeuren met de gegevens die bij ons liggen (account, vitrines, verenigingspagina’s), en een persoon aanwijzen aan wie we ze afgeven of die de verwijdering ervan kan verlangen. Zonder zo’n beschikking kunnen je erfgenamen de verwijdering verlangen; daarvoor hebben we een bewijs van het overlijden en van de hoedanigheid van erfgenaam nodig. De inhoud van je cloudback-up kunnen we aan niemand leesbaar afgeven – die is end-to-end versleuteld. Voor gebruikers in Frankrijk is dit de informatie volgens art. 85 van wet nr. 78-17 van 6 januari 1978 (Informatique et Libertés).

Deze verklaring beschrijft de werkelijke gegevensverwerking van de app. Bij vragen: kontakt@waffenschrank.app