Privacybeleid

1. Wie zijn wij?

Chup is een product van Inprovo, gevestigd in Nederland. Wij zijn verantwoordelijk voor de verwerking van persoonsgegevens zoals beschreven in dit privacybeleid. Je kunt ons bereiken via info@chup.nu.

2. Welke gegevens verzamelen we?

Bij het gebruik van Chup verwerken we persoonsgegevens die je zelf aan ons verstrekt.

Accountgegevens: naam, e-mailadres en een versleuteld wachtwoord. Voor gezinsleden die je toevoegt: naam en eventueel een e-mailadres en profielfoto.

Gebruiksgegevens: de inhoud die je aanmaakt binnen de app, zoals taken, agendapunten, beloningen en puntenstanden. Deze gegevens zijn gekoppeld aan je gezinsaccount.

Versleutelde gegevens: foto's, berichten, documenten en financiele gegevens worden end-to-end versleuteld opgeslagen. Dit betekent dat deze gegevens op jouw apparaat worden versleuteld voordat ze onze servers bereiken. Chup kan deze gegevens niet inzien - alleen jouw gezinsleden met een gekoppeld apparaat hebben toegang. Zie sectie 5a voor meer informatie.

Contactgegevens: als je ons contactformulier invult, verwerken we je naam, e-mailadres en bericht. Bij inschrijving voor updates verwerken we je e-mailadres en optioneel je naam.

3. Waarom verzamelen we deze gegevens?

We verwerken je gegevens uitsluitend voor het leveren en verbeteren van onze dienst: het laten functioneren van je account en de app, het verzenden van e-mails die je verwacht (zoals bevestigingen en wachtwoordresets), en het informeren over Chup als je je daarvoor hebt ingeschreven.

We verkopen je gegevens niet aan derden en gebruiken ze niet voor advertenties of profilering.

4. Rechtsgrond

We verwerken je gegevens op de volgende grondslagen uit de AVG: uitvoering van de overeenkomst (artikel 6 lid 1 sub b) voor je account en het gebruik van de app, toestemming (artikel 6 lid 1 sub a) voor onze nieuwsbrief (na dubbele bevestiging), en gerechtvaardigd belang (artikel 6 lid 1 sub f) voor beveiliging en fraudepreventie.

5. Opslag en beveiliging

Je gegevens worden opgeslagen op beveiligde servers binnen de Europese Unie (Hetzner, Duitsland). Alle verbindingen verlopen via HTTPS. We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen ongeautoriseerde toegang, verlies of misbruik.

5a. End-to-end encryptie

Foto's, berichten, documenten en financiele gegevens in Chup zijn end-to-end versleuteld. Dit houdt in:

• Versleuteling op jouw apparaat: je gegevens worden versleuteld op je telefoon of computer voordat ze onze servers bereiken. De sleutel waarmee je gegevens worden versleuteld (de Family Vault Key) bestaat alleen op de apparaten van jouw gezinsleden.
• Onze servers kunnen je data niet lezen: wij slaan alleen versleutelde gegevens op. Zelfs als onze servers gehackt zouden worden, kan een aanvaller je foto's, berichten en financiele gegevens niet lezen.
• Elk bestand heeft een eigen sleutel: elke foto en elk document wordt versleuteld met een unieke sleutel, waardoor het compromitteren van een bestand niet leidt tot toegang tot andere bestanden.
• Apparaatkoppeling: wanneer een nieuw gezinslid toegang wil tot versleutelde gegevens, moet dit worden goedgekeurd door een bestaand gezinslid. De sleutel wordt veilig overgezet zonder dat onze servers er toegang toe hebben.
• Noodrecovery: voor het geval je alle apparaten verliest, wordt een versleutelde backup van je sleutel bewaard op een volledig gescheiden server bij een andere hostingprovider. Herstel is alleen mogelijk met medewerking van een Chup-beheerder en vereist drie onafhankelijke factoren. De beheerder kan niet zelfstandig bij je gegevens.

Belangrijk: als je alle apparaten verliest en de noodrecovery niet slaagt, zijn je versleutelde gegevens onherstelbaar verloren. Dit is inherent aan end-to-end encryptie - het is de prijs van maximale privacy.

Beperking web-versie: wanneer je Chup gebruikt via een webbrowser (in plaats van de app), levert onze server de programmacode die de versleuteling uitvoert. In theorie zou een aanvaller die onze server overneemt aangepaste code kunnen leveren. De Chup-app (via de App Store) heeft deze beperking niet, omdat de code daar als vaste binary wordt geleverd. We nemen maatregelen om dit risico te beperken, waaronder een strikt Content Security Policy en integriteitscontroles op onze code.

6. Bewaartermijnen

Accountgegevens bewaren we zolang je account actief is. Bij verwijdering van je account worden je gegevens binnen 30 dagen gewist - versleutelde foto's en bestanden worden direct en onherstelbaar verwijderd. Contactberichten bewaren we maximaal 12 maanden. Inschrijvingsgegevens bewaren we tot je je uitschrijft.

7. Verwerkers en derden

Voor het leveren van onze dienst schakelen we een beperkt aantal verwerkers in:

• Hetzner (Duitsland) - serverhosting en bestandsopslag (versleutelde bestanden)
• Aparte recovery-server (EU) - versleutelde backup van gezinssleutels, bij een andere provider dan onze hoofdserver

Daarnaast maken we gebruik van verwerkers voor e-mailverzending en foutregistratie. Alle verwerkers zijn gevestigd in de EU of verwerken gegevens onder passende waarborgen conform de AVG. We hebben met elke verwerker een verwerkersovereenkomst gesloten. Een actueel overzicht van onze verwerkers is op te vragen via info@chup.nu.

Cloud storage import: als je ervoor kiest om foto's te importeren vanuit Dropbox, Google Drive of OneDrive, verleent Chup zichzelf tijdelijk leestoegang tot de door jou geselecteerde mappen. Geimporteerde foto's worden versleuteld op jouw apparaat voordat ze op onze servers worden opgeslagen. Je kunt de koppeling op elk moment verbreken.

8. Cookies

Chup gebruikt uitsluitend functionele cookies die strikt noodzakelijk zijn voor de werking van de app, zoals sessie- en beveiligingscookies. We plaatsen geen tracking cookies en gebruiken geen analytics van derden.

9. Je rechten

Op grond van de AVG heb je het recht op inzage, rectificatie, verwijdering, beperking van verwerking, dataportabiliteit en het intrekken van toestemming. Ook heb je het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens. Neem voor het uitoefenen van je rechten contact met ons op via info@chup.nu. We reageren binnen 30 dagen op je verzoek.

10. Verwerkingsregister

Een volledig overzicht van alle verwerkingen van persoonsgegevens is beschikbaar in ons verwerkingsregister, conform artikel 30 van de AVG.

11. Wijzigingen

We kunnen dit privacybeleid van tijd tot tijd aanpassen. Bij wezenlijke wijzigingen informeren we je per e-mail of via de app. De meest actuele versie is altijd beschikbaar op deze pagina.