Privacy

Kort samengevat

Adopt a Plant wordt gerund door één persoon, niet door een bedrijf met een data-afdeling. Er zit geen statistiekentool in de app, geen advertenties, geen crashrapportage en geen enkele vorm van trackingcode. Er wordt niets over je verkocht of voor marketing doorgegeven, al was het maar omdat er niemand is om het aan te verkopen.

Een e-mailadres zodat je kunt inloggen is het enige waar we je om vragen. Een weergavenaam zodat mensen weten met wie ze praten, schrijven we voor je uit dat adres, en die pas je zelf aan. Een locatie, zodat planten iemand in de buurt kunnen vinden, is optioneel. Je exacte locatie wordt nooit getoond. Een postadres ziet alleen die ene persoon die jou een plant stuurt.

De rest van deze pagina is het fijne ervan: wat er opgeslagen wordt, waar het staat, wie het verder onder ogen krijgt, en wat je ons kunt vragen ermee te doen.

Wie verantwoordelijk is

Adopt a Plant wordt beheerd door dev24, Pepermuntstraat 12, Utrecht, Nederland. Daarmee is dev24 de verwerkingsverantwoordelijke voor de gegevens op deze pagina, in de zin van de AVG.

Voor alles wat hier staat kun je mailen naar hello@adoptaplant.eu. Daar leest een echt mens mee.

Wat we van je bewaren

Je e-mailadres. Daarmee log je in en daarmee laten we je weten dat er een aanvraag, een bericht of een zending is. We slaan nooit een wachtwoord op, want er is geen wachtwoord: één mail brengt je een eenmalige inloglink en een code van zes cijfers, en allebei bewaren we alleen als hash, met daarnaast het aantal keren dat de code fout ingetypt is. Naast het adres zoals jij het typte bewaren we er een identiteitsvorm van: in kleine letters en zonder spaties eromheen, en bij een gmail-adres ook zonder punten en zonder wat er achter een plusteken staat, want die schrijfwijzen komen in dezelfde mailbox aan en werden stilletjes losse accounts.

Je profiel: een weergavenaam, en als je wilt een korte bio en een profielfoto. Die zien andere leden, samen met de plaatsnaam die je hebt ingesteld, je beoordeling en het aantal beoordelingen dat je gekregen hebt, hoeveel planten je een nieuw huis gegeven hebt (één per adoptie die de ontvanger bevestigd heeft), de dag waarop je je aanmeldde en wanneer je voor het laatst gezien bent. Bij het aanmaken hoeft niemand een naam te verzinnen, dus de eerste maken we van het stuk van je e-mailadres vóór het apenstaartje: een adres dat met "jan.dekker" begint, begint hier als de naam "jan dekker". Pas hem aan in je instellingen wanneer je maar wilt. Je e-mailadres zelf krijgt een ander lid nooit te zien, alleen een beheerder.

Je locatie, twee keer, plus de naam van de plaats. Het exacte punt dat je instelt blijft privé en krijgt niemand anders te zien. Daaruit leiden we een tweede punt af dat tot een kilometer verschoven is, en alleen dat verschoven punt komt op de kaart, in de API of bij een zoekmachine terecht. De plaatsnaam die erbij hoort, je stad of buurt, bewaren we als gewone tekst, en die tekst staat bij je profiel en bij je advertenties.

Je advertenties: titel, beschrijving, soort, aantal, vorm, hoe je de plant wilt overdragen, verzendnotities, wat je er eventueel voor terug zoekt, en de foto’s die je uploadt.

Bij een advertentie hoort ook een teller van het aantal weergaven. Die telt paginaweergaven van die advertentie en verder niets. Het is geen maat voor belangstelling en geen aantal mensen dat op de plant staat te wachten: wie morgen terugkomt telt opnieuw mee, en een weergave zegt niets over of iemand wilde hebben waar hij naar keek. Sommige bezoeken tellen helemaal niet mee. Je eigen bezoek aan je eigen advertentie niet, zolang je ingelogd bent; ben je uitgelogd, kijk je in een privévenster of op een toestel waarop je nooit ingelogd hebt, dan is er niets om je aan te herkennen en telt het bezoek net als elk ander. De bezoeken die we zelf afleggen tellen ook niet mee: het beheerdersaccount, de accounts die bestaan zodat Apple de app kan beoordelen, de crawlers en linkvoorbeelden die een pagina ophalen voor een zoekmachine of een chatapp, en de automatische controle die na elke uitrol een advertentie opent.

Wat dat tellen je aan privacy kost: over een bezoek komt niets in de database, en de teller bewaart geen adres. Om een dag lang de ene bezoeker van de andere te onderscheiden houdt het draaiende programma een hash in zijn eigen geheugen, gemaakt uit een willekeurig getal dat elke middernacht weggegooid en opnieuw gemaakt wordt, samen met je account-id of, als je niet ingelogd bent, je netwerkadres. Geen van beide valt uit die hash terug te halen, er komt niets van op schijf, en bij een herstart van de server zijn de hashes van die dag weg. Daarom telt een bezoeker ongeveer één keer per dag mee bij een advertentie, en niet precies één keer. De gewone logregels van de webserver verderop in deze lijst staan daar los van, en zijn niet waar de teller naar kijkt.

Chatberichten tussen jou en een ander lid, inclusief de foto’s die je meestuurt.

Adoptiegegevens: wie wat aan wie gegeven heeft, wanneer het aangevraagd, geaccepteerd, verstuurd, opgehaald of afgerond is, een eventueel trackingnummer, en de beoordelingen die jullie elkaar daarna geven.

Een verzendadres, maar alleen bij adopties die per post gaan, alleen nadat de gever de aanvraag heeft geaccepteerd, en alleen leesbaar voor jullie twee: naam, straat, postcode, plaats, regio, land en eventueel een telefoonnummer. Bij ophalen slaan we helemaal geen adres op, en ook geen afspraakplek of tijdstip. Dat regel je in de chat.

Je favorieten, en de meldingen die je bij ons doet over een advertentie, een bericht of een lid. In zo’n melding leggen we vast wat je meldt en waarom. Gaat de melding over een bericht, dan ziet een beheerder die hem behandelt het begin van dat bericht.

Moderatiegegevens. Elk besluit dat een beheerder neemt, leggen we op datzelfde moment vast: wie het nam, wat het was, over welk account, welke advertentie of welke melding het ging, wanneer, en de reden die de beheerder erbij typte. Die reden schrijft de ene mens over de andere, dus je naam kan erin staan en wat je gedaan hebt ook. Een ander lid krijgt hem nooit te zien.

Wat een beheerder ziet. Om de plek veilig te houden kan een beheerder alle accounts doorlopen. Per account staan daar de weergavenaam, het e-mailadres, het land, de dag van aanmelden, hoeveel advertenties erbij horen, hoeveel meldingen erover openstaan of tot een maatregel leidden, en of het account geschorst of verwijderd is. Je exacte locatie, een verzendadres en je gesprekken met andere leden staan er niet bij. Moet een beheerder je spreken, dan schrijft die je in de chat van de app zelf, vanaf een account dat gemarkeerd is als Team Adopt a Plant, en daar kun je antwoorden, het account rapporteren of blokkeren, net als bij elk ander gesprek.

Mensen die je blokkeert. Bij een blokkade leggen we vast wie wie geblokkeerd heeft en wanneer, zodat jullie elkaar niet meer tegenkomen en elkaar niets meer kunnen sturen. Je eigen lijst staat in je instellingen en daar haal je een blokkade ook weer weg.

De meldingen die de app je laat zien: wat er gebeurd is, van welk lid het kwam, en bij een nieuw bericht een klein stukje ervan. Die bewaren we, zodat de lijst er nog staat als je terugkomt.

De technische neerslag van een website die draait: per ingelogde sessie één regel (een hash van het sessietoken, de browser of app waarmee je inlogde, en tijdstempels), het IP-adres dat hoort bij een aanvraag voor een inloglink, en gewone logregels van de webserver. Gebruik je de iOS-app en zet je meldingen aan, dan ook een pushtoken voor dat toestel.

Wat we niet doen

Geen statistieken, geen advertenties, geen crash- of prestatierapportage, geen trackingpixels, geen cookies van derden, geen fingerprinting, geen profielen en geen geautomatiseerde besluiten over jou.

De website zet vier cookies, en alle vier doen ze iets waar je zelf om gevraagd hebt. aap_session houdt je ingelogd en is alleen door de server te lezen, niet door de scripts op de pagina. aap_locale onthoudt in welke taal je de site leest. aap_browse_country onthoudt in welk land je aan het rondkijken was, zodat je dat zonder account niet elk bezoek opnieuw hoeft te kiezen. aap_scheme onthoudt of dit toestel licht of donker uitkwam, zodat de eerste pagina die de server tekent niet de verkeerde is. Geen van de vier volgt je ergens anders heen, en daarom hoef je hier ook geen cookiemelding weg te klikken. Je browser bewaart daarnaast je taal, je voorkeur voor licht of donker en welke kaarten je op de pagina met planten hebt weggeklikt, zoals een kaart van het team, in zijn eigen opslag op je toestel, en de mobiele app bewaart zijn sessietoken in de eigen opslag van de app.

We hebben geen wachtwoorden, geen betaalgegevens en geen identiteitsbewijzen, want de app vraagt er nooit om.

Hoe je locatie beschermd wordt

Zodra je een locatie instelt, bewaren we het exacte punt en berekenen we meteen een vervaagde versie. De verschuiving is willekeurig binnen een cirkel van maximaal een kilometer en wordt afgeleid uit je account-id, of uit het advertentie-id bij een advertentie, zodat er elke keer hetzelfde uit komt. Dat laatste is belangrijk: een speld die bij elke pagina op een nieuwe plek springt, laat zich uitmiddelen tot je voordeur. De jouwe blijft liggen waar hij ligt.

Zoeken, sorteren op afstand en alles wat op de kaart staat, werken met het vervaagde punt. Het exacte punt blijft op de server, waar het alleen gebruikt wordt om je eigen speld te laten staan waar jij hem zette en om het vervaagde punt af te leiden.

Een locatie invullen is niet verplicht. Je kunt het veld leeg laten, het punt met de hand op de hoek van je straat zetten in plaats van op je huis, of het later in je instellingen weer weghalen.

Daarnaast zit er een knop "gebruik mijn locatie" in de locatiekiezer en op de kaart, en dat is het enige in de app dat de plaatsbepaling van je toestel uitleest. Je browser of telefoon vraagt eerst om je toestemming. Druk je er nooit op, dan vraagt de app je toestel ook nooit waar je bent. Druk je er wel op, dan gebruiken we die meting voor drie dingen: opzoeken in welke plaats je zit, de kaart centreren, en advertenties op afstand sorteren. Bij dat laatste komen de coördinaten in het webadres van de pagina te staan, dus ze bereiken onze server en belanden in het logboek daarvan. In je account komen ze niet terecht: wat als jouw locatie wordt opgeslagen, is de plaats die je daarna bevestigt, en die wordt net zo vervaagd als elke andere.

Foto’s worden op je eigen toestel verkleind en opnieuw opgeslagen voordat ze geüpload worden. Daarbij verdwijnt wat de camera in het bestand schreef, inclusief een eventuele gps-tag. De foto komt hier zonder aan. Op een telefoon vraagt de app pas toegang tot de camera of je fotobibliotheek op het moment dat je een foto toevoegt, en krijgt hij alleen de foto die je zelf aanwijst.

Waar je gegevens staan

Alles waar de site op draait, staat op een kleine computer bij de beheerder thuis in Nederland: de database, de API, de website en elke geüploade foto. Daarvoor staat een gehuurde virtuele machine in Amsterdam, die alleen de HTTPS-verbinding vanuit je browser afhandelt en het verkeer via een versleutelde privéverbinding doorstuurt naar die computer. Geen contentnetwerk, geen proxy van derden, en niemand buiten het project ontsleutelt je verkeer onderweg. De keerzijde zeggen we er eerlijk bij: je gegevens liggen niet verspreid over de datacentra van een cloudleverancier, maar wel op apparatuur bij iemand thuis in plaats van in een gebouw met bewaking en noodstroom.

Dat is een bewuste keuze, en de makkelijke weg hebben we ervoor laten liggen. Het oorspronkelijke plan was om Cloudflare ervoor te zetten: gratis, en in een middag geregeld. Dat plan sneuvelde toen de gegevensstroom eenmaal op papier stond, want een tunnel of CDN ontsleutelt het verkeer onderweg, en dan zou een bedrijf buiten de EU de leesbare tekst van ieders chatberichten, e-mailadressen en postadressen in handen hebben. Hier kan niemand onderweg meelezen, omdat er onderweg niemand is.

Elke nacht wordt er op diezelfde machine een back-up van de database gemaakt. Kopieën ouder dan veertien dagen worden verwijderd. Eén keer per dag worden die back-ups en de geüploade foto’s ook gekopieerd naar een aparte, versleutelde schijf aan een andere computer in hetzelfde huis. Die schijf bewaart de back-ups van de database negentig dagen, en de kopie van de foto’s daarop loopt gelijk met de site: wordt een foto hier weggehaald, dan wordt hij daar nog dertig dagen apart bewaard en daarna verwijderd. Buiten dat huis wordt nergens een kopie bewaard.

De paar diensten van buiten

E-mail. Onze e-mailprovider Brevo, gevestigd in Frankrijk, bezorgt de inloglinks en de meldingsmails. Die ziet je e-mailadres en de inhoud van die mails, en daar kan een advertentietitel in staan, de weergavenaam van de ander, het bericht dat iemand bij een aanvraag schreef of een trackingnummer. Schorsen we je account, dan gaat het bericht waarin staat waarom langs dezelfde weg, met de reden van de beheerder erin. Postadressen zetten we nooit in een mail.

Kaarttegels. De kaart wordt getekend met tegels van OpenFreeMap, gebouwd op gegevens van OpenStreetMap. Je browser of app haalt die tegels rechtstreeks op, dus OpenFreeMap ziet je IP-adres en ongeveer naar welk gebied je kijkt. Open je de kaart nooit, dan wordt er ook nooit contact gelegd. De referentiefoto’s van soorten komen van Wikimedia Commons, maar wij serveren onze eigen kopieën, dus Wikimedia ziet niets terwijl jij aan het rondkijken bent.

Plaatsnamen zoeken. Typ je een plaatsnaam om je locatie in te stellen, dan gaan die woorden naar Photon, een open geocoder die Komoot in Duitsland draait, om er coördinaten van te maken. Andersom werkt het ook: druk je op "gebruik mijn locatie", dan gaan juist de coördinaten die je toestel doorgaf naar Photon, om er een plaatsnaam bij te krijgen. Welke kant het ook op gaat, onze server stelt de vraag namens jou, dus je IP-adres gaat niet mee, en het antwoord blijft dertig dagen in de cache staan.

Pakketten volgen. Vult een gever een trackingnummer in, dan kan de app bij trackingdienst 17TRACK de status van dat pakket opvragen. Alleen het trackingnummer en de vervoerder gaan de deur uit. Je naam en adres blijven hier.

Pushmeldingen. Gebruik je de iOS-app en staan meldingen aan, dan komen die via de pushdienst van Apple op je toestel terecht, net als de meldingen van elke andere app op je telefoon.

Oracle. Oracle verhuurt ons de kleine machine in Amsterdam die je browser beantwoordt en het verzoek doorstuurt. Zij beheren de hardware eronder; de software en het TLS-certificaat zijn van ons. Je gegevens staan er niet opgeslagen en er wordt niets aan Oracle overgedragen om voor ons te verwerken.

Dat is de hele lijst. Wordt hij ooit langer, dan verandert eerst deze pagina.

Waarom we dit mogen bewaren

Het meeste omdat je ons gevraagd hebt de dienst voor je te draaien. Een account, een advertentie, een chat, een aanvraag en een adoptie werken nu eenmaal niet zonder de gegevens die eronder zitten, en dat is in de AVG een overeenkomst, artikel 6, lid 1, onder b.

Je locatie en je pushmeldingen berusten op toestemming, artikel 6, lid 1, onder a. Allebei zijn ze optioneel en allebei kun je ze weer intrekken, door je locatie te wissen of je meldingen uit te zetten.

Misbruik tegenhouden berust op gerechtvaardigd belang, artikel 6, lid 1, onder f: de limieten op het aantal verzoeken, het IP-adres bij een aanvraag voor een inloglink, wie wie geblokkeerd heeft, en de meldingen en moderatiegegevens waarmee we kunnen ingrijpen als iemand zich misdraagt.

De moderatiegegevens berusten op diezelfde grond. Een plek die mensen met elkaar delen moet veilig zijn, en een besluit dat we over iemand genomen hebben moeten we later kunnen verantwoorden. Dat beperkt wat wissen hier kan: je account verwijderen wist niet wat we van een besluit over jou vastgelegd hebben.

Hoe lang we het bewaren

Inloglinks verlopen na vijftien minuten en de code van zes cijfers in dezelfde mail na tien. Vijf keer een verkeerde code intypen maakt de code ongeldig, en de link erbij. Een geplande taak wist het regeltje een dag nadat het verlopen of gebruikt is.

Sessies duren dertig dagen, gerekend vanaf de laatste keer dat je de app gebruikte en niet vanaf het inloggen, dus iets wat je blijft openen logt je niet uit. Uitloggen wist die sessie meteen.

Advertenties gaan zestig dagen na publicatie van de markt af. De advertentie zelf blijft staan zodat je hem opnieuw kunt plaatsen, en niemand ziet hem intussen.

Opgeslagen zoekresultaten voor plaatsnamen worden na dertig dagen gewist. Nachtelijke back-ups van de database bewaren we veertien dagen op de machine waar de site op draait en ongeveer negentig dagen op de aparte schijf, die een weggehaalde foto ook nog ongeveer dertig dagen bewaart. Wat je verwijdert, ook je account, kan zo lang in die kopieën blijven staan.

Op chatberichten, adoptiegegevens en beoordelingen staat helemaal geen klok. Ze leggen vast wat er tussen twee mensen gebeurd is, dus ze blijven ook staan als jij weggaat: je account verwijderen haalt je naam eraf, en wat je schreef blijft staan waar de ander het kan teruglezen.

Een verzendadres blijft bij zijn adoptie staan zolang die adoptie bestaat, en dat is voor onbepaalde tijd. Verwijder je je account, dan worden de adressen gewist die je zelf gedeeld hebt; een adres dat een ander met jou deelde is van die ander en blijft staan tot diegene het eigen account verwijdert.

Meldingen bewaren we ook nadat ze afgehandeld zijn, ook meldingen over jou. Een moderatiedossier dat vanzelf verdwijnt is geen dossier.

Moderatiegegevens bewaren we voor onbepaalde tijd, en je account verwijderen haalt ze er niet uit. Verwijdert de beheerder die zoiets schreef later het eigen account, dan wijst de regel nog naar dat account, maar staat er geen naam of adres meer bij. Het besluit, de datum en de reden die er toen bij geschreven is blijven staan.

Je rechten

Je kunt een kopie van je gegevens opvragen, ze laten corrigeren, ze laten wissen, het gebruik ervan laten beperken, ze in een overdraagbaar bestand krijgen of bezwaar maken tegen de verwerking. Mail naar hello@adoptaplant.eu, dan hoor je binnen dertig dagen van ons.

Een deel kun je nu al zelf: je naam, bio, profielfoto en locatie aanpassen of leegmaken in je instellingen, een advertentie verwijderen, een sessie uitloggen.

Je account verwijderen doe je zelf: ga naar Instellingen, dan Account verwijderen, en typ het woord dat daar gevraagd wordt. Het gebeurt meteen en is niet terug te draaien. Het enige wat het tegenhoudt is een adoptie die nog loopt, want aan de andere kant wacht iemand op een plant of is iemand er een schuldig; rond die eerst af of annuleer hem, en kom dan terug. Op dat scherm staat eerst wat er weggaat en wat er blijft, en het stuk hieronder is daar de lange versie van.

Vind je dat we slecht met je gegevens omgaan, dan kun je klagen bij de Autoriteit Persoonsgegevens, of bij de toezichthouder in het EU-land waar je woont.

Het lastige geval: gegevens van twee mensen tegelijk

Een afgeronde adoptie is van twee mensen. Het gesprek eromheen ook, en een beoordeling net zo goed. Vraag je ons je account te wissen, dan kunnen we niet het verslag van de ander wissen van iets wat tussen jullie beiden gebeurd is, net zomin als die ander dat van jou kan.

Wat we in plaats daarvan doen: je e-mailadres, naam, bio, land en locatie worden van het account gewist en je profielfoto wordt van de server verwijderd. Je favorieten, de meldingen in je lijst, je blokkeerlijst, al je sessies en pushtokens en een eventuele openstaande inloglink gaan er helemaal uit. Een verzendadres dat je als adoptant deelde, wordt gewist. Je advertenties gaan van de site af, de mensen die erop wachtten horen dat de plant weg is, en je eigen openstaande aanvragen worden ingetrokken.

Je naam gaat daarna los van de adopties en beoordelingen die blijven staan. Wat overblijft is het kale feit dat er iets uitgewisseld is, plus het verslag van de ander. Berichten die jij gestuurd hebt blijven in het gesprek van die ander staan, onder een verwijderde naam in plaats van onder de jouwe, en de foto’s die daar al bij zitten blijven bij dat gesprek. Een advertentie die iemand geadopteerd heeft, houdt zijn foto in hun verslag van die adoptie, om dezelfde reden als het gesprek, en dat geldt ook als die adoptie later afgebroken is, want dat verslag blijft bij hen. Alle andere advertentiefoto’s worden van de server verwijderd: het oorspronkelijke bestand en elk formaat dat we ervan gemaakt hebben, ook de foto’s van advertenties die je zelf al verwijderd had.

Is dat voor jou niet genoeg, zeg dat er dan bij als je mailt. Dan leggen we eerst precies uit wat er in jouw geval zou blijven staan, voordat we iets aanraken.

Wijzigingen

Verandert er iets van belang aan dit beleid, dan zeggen we dat in de app voordat de wijziging ingaat. De datum bovenaan is de laatste keer dat er iets veranderde.