Privacyverklaring en Digitaledienstenverordening (EU/EER)

Voor de kern van de dienst vragen we je geen toestemming: we baseren ons op de rechtsgronden hieronder. Voor pushmeldingen vraagt je telefoon zelf om toestemming.

Deze pagina vult ons Privacybeleid aan met wat specifiek voor de EU en de EER geldt. Daar vind je de volledige lijst van gegevens en doeleinden, de rechtsgronden in artikel 5, de bewaartermijnen in artikel 10 en je rechten in artikel 11 en artikel 12.1.

1. Wie verantwoordelijk is

Verwerkingsverantwoordelijke: RETROBOND TEKNOLOJİ BİLİŞİM LİMİTED ŞİRKETİ, een besloten vennootschap naar Turks recht, gevestigd in Turkije, Cumhuriyet Mah. Fatih Sultan Mehmet Blv. Cadde 224 No: 41 A/A, Nilüfer, Bursa, Türkiye. Contact voor privacy en voor de DSA, voor gebruikers en voor autoriteiten: support@taketurn.co, of per post naar het adres hierboven. Je kunt altijd een klacht indienen bij de gegevensbeschermingsautoriteit van je land (artikel 2). We hebben geen functionaris voor gegevensbescherming aangewezen, omdat we daartoe niet verplicht zijn (geen regelmatige en stelselmatige observatie op grote schaal en geen verwerking op grote schaal van bijzondere categorieën van persoonsgegevens, artikel 37 AVG); privacyverzoeken gaan naar hetzelfde adres.

2. Wat specifiek is voor de EU en de EER

• Rechtsgronden. Uitvoering van de overeenkomst (je account laten werken, Takes bezorgen, vrienden en activiteitsstatus); gerechtvaardigd belang (leeftijdscontroles, veiligheid, het voorkomen van fraude en misbruik, de controle op gevoelige inhoud op de telefoon, “Mensen die je misschien kent”, gebruiksstatistieken en, zodra crashrapportage aanstaat, het oplossen van crashes); wettelijke verplichting (antwoorden aan autoriteiten, het melden van CSAM waar het Unierecht of het nationale recht dat vereist). Komt de plicht uit het Amerikaanse recht, zoals het melden aan het NCMEC, dan is onze grondslag ons gerechtvaardigd belang bij de bescherming van kinderen. Je kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang (artikel 21 AVG); zie artikel 11 van het Privacybeleid.
• Activiteitsstatus. Alleen je vrienden zien een groene stip als je TakeTurn in de afgelopen 48 uur hebt geopend, nooit een tijdstip. Zet Instellingen > Privacy > Mijn activiteitsstatus tonen uit en niemand ziet hem (je ziet dan ook de stippen van anderen niet meer).
• “Mensen die je misschien kent”. We stellen mensen vooral voor via je vriendennetwerk. Levert dat weinig suggesties op, dan gebruiken we ook je geschatte land (op basis van je IP-adres) en of mensen daar TakeTurn in de afgelopen 3 dagen hebben geopend, alleen om suggesties te kiezen en te ordenen; dit wordt nooit aan iemand getoond. Je kunt op elk moment bezwaar maken (artikel 7.4 van het Privacybeleid).
• Niets van je telefoon uitgelezen voor statistieken. De app stuurt geen eigen gebruiksrapport (zoals hoelang hij openstaat of waarop je tikt). Onze gebruiksstatistieken tellen we op onze servers, op basis van verzoeken die de app toch al doet om te werken, onder een willekeurige code in plaats van je account (artikelen 5 en 16 van het Privacybeleid). Op je telefoon bewaart de app alleen wat de dienst nodig heeft om te werken.
• Controle op gevoelige inhoud op de telefoon. De foto wordt alleen op de telefoon van de verzender en die van de ontvanger geanalyseerd; daarvoor wordt niets geüpload. Met de Take gaat alleen een ja/nee-markering mee. We leiden geen bijzondere categorieën van persoonsgegevens af.
• Geen automatische scan op CSAM. Takes worden niet automatisch gescand op CSAM (de enige automatische controle is die op gevoelige inhoud op de telefoon, en die uploadt niets). Een mens beoordeelt meldingen; vermoedelijk CSAM wordt gemeld aan het NCMEC en de bevoegde autoriteiten en bewaard gedurende de wettelijke termijn. Als we later automatische vergelijking toevoegen, kondigen we dat vooraf aan.
• Leeftijd. Je geboortedatum en, waar Apple of Google dat aanbieden, alleen een leeftijdscategorie. Jonger dan 18: geen account; we bewaren alleen een onomkeerbare code (hash) van het inlogaccount en de datum waarop de persoon 18 wordt (gerechtvaardigd belang, minimale gegevensverwerking).
• Crashrapporten. Crashrapportage staat nog niet aan. Zodra die aanstaat, treedt Firebase Crashlytics (Google) op als onze verwerker: alleen crash- en stackgegevens, nooit foto’s, berichten of bijschriften, bewaard tot 90 dagen. Verandert daar iets aan, dan passen we eerst het Privacybeleid aan.
• Geautomatiseerde besluiten (artikel 22 AVG). Veel meldingen van verschillende geverifieerde mensen kunnen een account beperken totdat een mens het beoordeelt. Niemand wordt door een automatische stap geschorst of definitief uitgesloten. Je kunt om menselijke beoordeling vragen en bezwaar maken (artikel 11 van de Gebruiksvoorwaarden; DSA-pagina).
• Doorgiften. Gegevens worden verwerkt in de Verenigde Staten en in andere landen waar Cloudflare, Apple en Google actief zijn, en ons team kan er vanuit Turkije bij. We baseren ons op het EU-VS-kader voor gegevensbescherming (EU-US Data Privacy Framework) als de aanbieder gecertificeerd is, en anders op de standaardcontractbepalingen (artikel 9 van het Privacybeleid). Je kunt om een kopie vragen.
• Bewaren. Zoals in artikel 10 van het Privacybeleid (bijvoorbeeld: Takes verwijderd zodra ze geopend of gemist zijn; veiligheidskopie tot 24 uur; selfie direct na het besluit verwijderd; IP-logs tot 90 dagen).
• Je rechten. Inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar, het intrekken van toestemming waar toestemming de grondslag was, en het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde wijze genomen besluit. We antwoorden binnen een maand. Is een verzoek complex of krijgen we er veel, dan kunnen we die termijn met hoogstens twee maanden verlengen; dat laten we je binnen de eerste maand weten, met de reden. Je kunt een klacht indienen bij de gegevensbeschermingsautoriteit van je land (die van het land waar je woont of werkt, of waar volgens jou de inbreuk heeft plaatsgevonden).

3. Digitaledienstenverordening (DSA)