Privacybeleid

Twee checks vóór het versturen

De app kijkt eerst op het toestel zelf of de tekst onaardig of gevaarlijk kan overkomen. Het kind kan pauzeren, iets anders zeggen of niet versturen. Lokaal geblokkeerde tekst wordt niet als chatbericht verstuurd.

Daarnaast kan een AI-cloudcheck plaatsvinden. Daarvoor gaan de concepttekst en maximaal 3 eerdere berichten als context via HTTPS naar OpenAI, via het Emergent-platform. De AI geeft een kleur (groen, oranje of rood) en een korte uitleg terug.

Wijzelf slaan de concepttekst van deze check niet op. Dit betekent niet dat de tekst nooit het toestel verlaat. Voor verwerking bij de AI-dienst gelden de voorwaarden van die dienst; de bewaartermijn bij deze verwerker hebben wij niet vastgesteld.

Alleen metadata als veiligheidssignaal

Bij een veiligheidssignaal bewaren we informatie óver het signaal, niet de woorden zelf:

• De categorie, bijvoorbeeld onaardige taal of persoonlijke gegevens.
• De ernst, het tijdstip en de gekozen actie: pauzeren, anders zeggen of niet versturen.
• De koppeling met het kind en gezin, zodat het signaal op de juiste plek komt.

Een veiligheidssignaal bevat geen berichttekst of gespreksinhoud. Het kind ziet de vastgelegde signalen in het Privacybewijs in de app.

Berichten en media: opslaan om te bezorgen

Verstuurde berichten staan in onze database. Foto’s, spraakberichten en eigen GIF’s staan in de bestandsopslag van Emergent. Dat is nodig om ze te bezorgen en later terug te lezen. Verbindingen lopen via HTTPS.

Berichten zijn niet end-to-end versleuteld. Gespreksleden kunnen hun eigen gesprekken opvragen; de server weigert ouderaccounts en schoolaccounts toegang tot chatinhoud. Van geüploade foto’s verwijderen we EXIF-gegevens, waaronder locatiegegevens.

Spraakberichten en Kiko’s stem

Onze eigen server controleert spraakberichten met een zelfgehost transcriptiemodel. Voor die controle gaat de audio niet naar externe AI. Het transcript slaan wij niet op. Een verstuurd spraakbericht wordt wél als media bewaard.

Kiko’s voorleesstem gebruikt OpenAI tekst-naar-spraak via Emergent. De voor te lezen tekst gaat naar deze dienst. Dat zijn onder meer uitleg, weetjes en missies, maar ook een persoonlijke begroeting met de voornaam van je kind, zoals “Hoi Sem! Fijn dat je er bent!”.

De gemaakte audio bewaren we in een servercache. Bij accountverwijdering wissen we de herkenbare gecachte begroetingen met de huidige voornaam gericht mee. De overige reguliere voorleesaudio betreft vaste app-teksten. Dit is geen garantie dat elke historische of afwijkende gepersonaliseerde tekst bij alle verwerkers is gewist. Vraag ons om hulp als dat nodig is.

Ouders: geïnformeerd per e-mail, zonder mee te lezen

• Een wekelijks voortgangsrapport met aantallen, zoals complimenten, sterke keuzes en signalen; geen chatteksten.
• Een mail bij trotse momenten, zoals een nieuw Vibe-Level of een weekoverzicht dat het kind zelf deelt.
• Een veto-mail bij een nieuwe vriendschap, met de mogelijkheid het contact te blokkeren.
• Herstel- en bevestigingscodes, bijvoorbeeld voor de cijfercode of accountverwijdering.

Welke gegevens bewaren we?

• Kind: voornaam, avatar, kleur en een bcrypt-hash van de geheime 4-cijferige code; niet de code zelf.
• Ouder: naam, e-mailadres en, bij een wachtwoordaccount, een bcrypt-hash van het wachtwoord. Bij Google-aanmelding gebruiken we de ontvangen accountgegevens om in te loggen.
• Gezinskoppelingen, contacten, inlogsessies en tijdelijke verificatiegegevens.
• Optioneel: verjaardag (alleen dag en maand) en telefoonnummer voor het koppelen van vriendjes.
• Handmatig ingevoerde vriendgegevens: naam en telefoonnummer bij een uitnodiging. De app leest hiervoor niet automatisch het adresboek uit.
• Verstuurde berichten en media, veiligheidssignalen, Vibe-punten, levels, missies, lessen en spelvoortgang.

Telefoonnummers dienen voor het koppelen van vriendjes en worden niet op hun profiel aan anderen getoond. Profielfoto’s worden pas zichtbaar na oudergoedkeuring. KindKey bevat geen advertenties en verkoopt geen gegevens.

Wie helpt ons? Onze verwerkers

• Emergent: hosting en database voor accounts, berichten en signalen.
• Emergent-bestandsopslag: foto’s, spraakberichten en GIF’s.
• Resend via Emergent: e-mailbezorging aan ouders.
• OpenAI via Emergent: de AI-cloudcheck en Kiko’s voorleesstem.

Deze dienstverleners verwerken gegevens om KindKey te laten werken. Hun voorwaarden zijn van toepassing; hun bewaartermijnen en eventuele back-ups hebben wij niet zelf vastgesteld. We beloven daarom geen volledige nulbewaring bij deze partijen.

Samen beginnen, veilig inloggen

Een ouder maakt het account samen met het kind aan. Kinderen registreren zich niet zelf met een e-mailadres. Ze loggen in met hun profiel en geheime 4-cijferige code. Na vijf foute pogingen volgt een tijdelijke blokkade; herstellen verloopt via de ouder.

Verwijderen: jij hebt de sleutel

Een ouder kan verwijderen via Instellingen in de app of via de openbare verwijderpagina, zonder de app te installeren. Een wachtwoord of geldige code uit de eigen mailbox is verplicht. Alleen een e-mailadres is nooit genoeg.

Is er geen andere ouder in het gezin, dan worden het ouderaccount en de gekoppelde kind-profielen met hun gegevens verwijderd. Is er nog een andere ouder, dan verdwijnt alleen het eigen ouderaccount; de kinderen en het gezin blijven bestaan. Het vooroverzicht toont dit vóór je bevestigt.

Na een geslaagde verwijdering verdwijnen de betrokken accounts, berichten, veiligheidssignalen en voortgang uit onze actieve database. Er is geen eigen bewaartermijn voor de verwijderde accounts. Andere gezinnen blijven intact. Een 1-op-1-gesprek dat hierdoor minder dan twee leden heeft, verdwijnt inclusief de berichten van de gesprekspartner daarin. In een blijvende kring verdwijnen de berichten van de verwijderde accounts, niet die van andere leden.

Mediabestanden overschrijven we in de actieve opslag met lege inhoud, omdat de opslagdienst geen wis-functie biedt. Mislukt dit, dan proberen we het één keer direct opnieuw. Daarna blijven mislukte bestandspaden in een opruimlijst staan voor handmatige opvolging. Het resultaat toont het aantal openstaande bestanden. Er is geen gegarandeerde afrondtermijn voor deze resttaken; neem contact op voor opvolging.

De herkenbare gecachte Kiko-begroetingen met de huidige voornaam wissen we gericht mee. Vaste voorleesaudio kan in de cache blijven. Back-ups, oudere bestandsversies en bewaartermijnen bij hosting-, opslag-, AI- en e-mailproviders zijn niet vastgesteld: volledige wissing of nulbewaring bij die partijen kunnen we niet beloven.

Al bezorgde e-mails kunnen we niet uit je mailbox terughalen. Ook kopieën die iemand zelf heeft opgeslagen, bijvoorbeeld een screenshot, kunnen we niet op afstand wissen.