Privacy

Wat er wordt opgeslagen

In je account staan drie soorten gegevens.

Je dagboek is het grootste deel: elke regel die je logt, met het product, de hoeveelheid, het maaltijdmoment, het tijdstip en de tijdzone waarin je het logde. Daarbij horen je bewaarde maaltijden, producten die je zelf hebt aangemaakt, en hoeveel water je dronk.

Daarnaast houdt de app je wegingen bij, en je profiel: je naam, je e-mailadres, je geslacht, je geboortedatum, je lengte, je gewicht, hoe actief je bent, je doel, eventuele eigen dagdoelen, je taal en het moment waarop je toestemming gaf.

Verder alleen wat de app nodig heeft om te werken: je herinneringen en (als je die aanzet) je pushabonnement, je deellinks met wie je ze gaf, en foto's met de analyses die eruit kwamen als je die functie gebruikt.

• Dagboek — regels, bewaarde maaltijden, eigen producten, water
• Lichaam — wegingen, geslacht, geboortedatum, lengte, gewicht, beweegniveau, doel
• Account — naam, e-mailadres, wachtwoord (als hash) of je Google-/Apple-identiteit, en je sessies
• Rest — herinneringen, pushabonnement, deellinks, foto's en analyses

Dit zijn bijzondere persoonsgegevens

Wat je eet en hoeveel je weegt zeggen iets over je gezondheid. Onder de AVG (de Nederlandse uitvoering van de GDPR) zijn gegevens over gezondheid bijzondere persoonsgegevens: artikel 9. Die mogen niet zomaar verwerkt worden, ook niet door een app die er verder niets mee doet.

Daarom zit de toestemming vóór de vragen over je lichaam, en niet ergens in een instellingenscherm dat je nooit opent.

Op welke grond

Voor de gegevens over je lichaam — geslacht, geboortedatum, lengte, gewicht, beweegniveau en doel — is de grondslag jouw uitdrukkelijke toestemming, artikel 9 lid 2 onder a AVG. Je geeft die bij het instellen, op een scherm dat zegt wat er wordt opgeslagen, waarvoor, waar het staat en wat er gebeurt als je nee zegt. Het moment waarop je hem gaf wordt bij je profiel vastgelegd.

Je kunt die toestemming overslaan. Dan werkt het dagboek gewoon; je krijgt alleen geen berekende dagdoelen, want daar zijn die gegevens voor.

Voor je account zelf — je e-mailadres en je wachtwoord — is de grondslag dat de dienst zonder die gegevens niet te leveren is: zonder account is er niets om je dagboek in te bewaren en niets om tussen je telefoon en je laptop te synchroniseren.

Wie het verwerkt

Mealjot verkoopt niets door, wisselt niets uit met adverteerders en doet niets aan profilering. Er zijn een paar partijen die de app nodig heeft om te draaien, en dit zijn ze allemaal.

Cloudflare serveert de website en de app. Elk verzoek dat je doet loopt er langs, dus Cloudflare ziet je IP-adres en je browser. Cloudflare bewaart ook de foto's die je laat lezen, in een privé-bucket waar alleen deze app bij kan.

De server met de database staat bij Hetzner in Duitsland. Daar staat je account, je profiel, je dagboek en je wegingen.

De bezoekersstatistiek is Umami, op een server van de eigenaar zelf — niet bij Google Analytics en niet bij een ander statistiekbedrijf. Umami zet geen cookie en krijgt niets persoonlijks te zien.

Als je een foto, een etiket of een menukaart laat lezen, gaat die afbeelding naar een AI-aanbieder om gelezen te worden. Welke dat is, is een instelling; hij krijgt de afbeelding en verder niets over jou. Gebruik je die functie niet, dan gaat er nooit een foto ergens heen.

Vraag je een nieuw wachtwoord of een inloglink aan, dan gaat dat bericht via een e-mailprovider naar je toe.

Statistiek en cookies

Er wordt geteld welk soort pagina er wordt geopend, meer niet. Geen gebruikersnummer, geen naam, geen enkel product uit je dagboek.

De teller van Umami staat met automatisch meten uit, en elke paginaweergave wordt met de hand gestuurd langs een functie die de dynamische stukjes uit het pad haalt en de querystring helemaal weggooit. Dat is geen netheid maar noodzaak: twee URL's in deze app zijn zelf een sleutel (een deellink en een uitnodiging) en twee dragen er een in de query (een wachtwoordherstel en een inloglink). Die mogen nooit in een statistiekdatabase belanden.

Zet je browser Do Not Track aan, dan wordt de teller niet eens geladen. Op een testomgeving wordt er niets geteld: alleen mealjot.app.

De app zet drie cookies, alle drie van hemzelf. Een ondertekende sessiecookie (mealjot_session) waar JavaScript niet bij kan, een klein hintje met je voornaam zodat het scherm meteen weet dat je ingelogd bent (mealjot_viewer_hint), en je taalkeuze (locale). Er zijn geen cookies van derden en geen trackers.

Hoe lang het blijft staan

Je dagboek, je wegingen en je profiel blijven staan zolang je account bestaat. Er is geen klok die ze na een jaar opruimt: een eetdagboek is pas iets waard als je er over een jaar in terug kunt kijken.

Wis je een regel, dan verdwijnt hij uit beeld en blijft de rij met een wistijdstip in de database staan. Dat is hoe je andere telefoon leert dat hij weg is; hij wordt nergens meer getoond en verdwijnt definitief als je je account opheft.

Foto's worden standaard na 90 dagen gewist, automatisch. Je kunt een foto eerder wissen of hem laten staan.

Een sessie op een apparaat verloopt na 30 dagen zonder gebruik. Een link om je wachtwoord te herstellen is 30 minuten geldig, een inloglink 15 minuten, en beide werken één keer.

Hef je je account op, dan gaat alles weg — je dagboek, je wegingen, je eigen producten, je deellinks en elke foto die nog van je was.

Wat je kunt doen

Drie dingen zijn ingebouwd en werken vandaag, niet na een verzoek per e-mail dat iemand moet behandelen. Ze staan alle drie op hetzelfde scherm, onder Gegevens en account.

Exporteren geeft je een zip met je account, je profiel, je hele dagboek als CSV en per tabel een JSON-bestand, met een README die uitlegt wat er in elk bestand staat en waar de voedingswaarden vandaan komen. Daarnaast is er een PDF van de laatste veertien dagen om mee te nemen naar je diëtist.

Toestemming intrekken wist je geslacht, geboortedatum, lengte, gewicht, beweegniveau en doel. Je account, je dagboek en je wegingen blijven staan; er kunnen alleen geen dagdoelen meer berekend worden.

Account opheffen wist alles, definitief, inclusief de foto's. Je wachtwoord wordt nog één keer gevraagd.

Vind je dat er iets niet klopt, dan kun je klagen bij de Autoriteit Persoonsgegevens, de Nederlandse toezichthouder.

• Gegevens en account
• Autoriteit Persoonsgegevens

Op je eigen apparaat

Mealjot bewaart je dagboek ook op het apparaat zelf, in de database van je browser. Dat is wat de app zonder verbinding laat werken.

Log je uit, dan wordt die lokale kopie gewist, samen met alles wat de app in de cache van je browser had staan — behalve het lege raamwerk van de pagina, waar niets persoonlijks in zit. Dat is er voor de telefoon die je aan iemand anders uitleent.

De pagina's van je dagboek, de deellinks en alles onder /api worden nooit in een cache gezet. Alleen de openbare pagina's — deze, de voorpagina, over en het blog — worden bewaard zodat ze het ook zonder verbinding doen.