Privacybeleid

Wie verantwoordelijk is

Sabzy wordt ontwikkeld en beheerd door Boburmirzo Khudoyberdiev, een zelfstandige ontwikkelaar in Oezbekistan. Voor alles in dit beleid, ook verzoeken over je gegevens, schrijf je naar mirzo.7767@gmail.com.

Wat de app bewaart

Alles wat je invoert wordt weggeschreven naar een database op je toestel:

• Je profiel — lengte, huidig gewicht, streefgewicht, geboortedatum of leeftijd, geslacht, activiteitsniveau en het doel dat je hebt gekozen. Hieruit wordt je dagelijkse calorieëndoel berekend.
• Je dagboek — maaltijden en de voedingsmiddelen daarin, calorieën en macronutriënten, het tijdstip waarop elk item is genoteerd, en elke foto die je eraan hebt toegevoegd.
• Water en weegmomenten — de glazen die je afvinkt en de gewichten die je in de loop van de tijd noteert.
• App-instellingen — eenheden, taal, herinneringen, en hoeveel AI-analyses je hebt gebruikt.

Als iCloud op je toestel is ingelogd, wordt deze database gespiegeld naar de privé-iCloud-database van je eigen Apple Account. Die opslag is van jou: ze valt onder het privacybeleid van Apple, ze telt mee voor je iCloud-opslag, en de ontwikkelaar van Sabzy kan er op geen enkele manier in kijken. Uitloggen bij iCloud, of iCloud voor Sabzy uitzetten in Instellingen, stopt het spiegelen.

Inloggen

Sabzy werkt helemaal zonder account, en zo begint het ook: alles hierboven blijft op je telefoon en in je eigen iCloud, en niets daarvan bereikt ons. Inloggen kies je zelf in Profiel, en het bestaat voor twee dingen — hetzelfde dagboek op een tweede apparaat lezen, en aan een groep deelnemen.

Inloggen gaat via Apple of Google. Er staat nergens in de app een wachtwoord, dus is er ook geen dat wij kunnen bewaren of kwijtraken. Wat Firebase Authentication voor ons bijhoudt is een accountkenmerk en het e-mailadres dat de aanbieder doorgeeft — bij Inloggen met Apple mag dat een doorstuuradres zijn dat je altijd kunt uitzetten, en de app werkt in beide gevallen hetzelfde.

Zodra je bent ingelogd worden je profiel, maaltijden, weegmomenten en water gespiegeld naar Cloud Firestore, en de miniaturen van maaltijden en je profielfoto naar Cloud Storage, in een map die de beveiligingsregels aan jouw account openen en aan niemand anders. Het profieldocument draagt nog vier dingen die niet bij je logboek horen: of er een abonnement actief is, op welk product en tot wanneer; de pushtokens van de toestellen waarop je bent ingelogd; een verwijzing naar de groep waarin je zit; en een stempel van welk platform en welke app-versie het laatst schreef. De database staat in de Europese Unie — België en Nederland — en de functies die groepen draaien staan in Frankfurt.

Uitloggen stopt het spiegelen en laat de kopie staan. Profiel › Account › Account verwijderen haalt die weg: elke maaltijd, weging, waterinvoer en gepubliceerde dag, dan het profieldocument, de fotomap en het account zelf. Bij Apple trekt de app bovendien het door Apple afgegeven token in — dat is wat de verwijdering heel maakt in plaats van half.

Groepen

Een groep is een gedeeld abonnement: één persoon betaalt, en iedereen die deze uitnodigt heeft Premium zolang het abonnement loopt. Wie betaalt valt er zelf buiten — een abonnement voor vijf is vijf mensen naast die persoon — en neemt Sabzy Pro zoals iedereen, als die dat wil. Deelnemen vraagt om een uitnodigingscode van degene die de groep beheert; zonder die code kan niemand je toevoegen. Je zit in één groep tegelijk, en vertrekken is één knop.

Wat de anderen in je groep over jou zien:

• De naam en foto die je in Profiel hebt ingesteld — wie geen naam heeft ingesteld, wordt getoond als „Member”.
• Je reeks, je beste reeks, je doel en hoe je gewicht zich over de laatste dertig dagen heeft bewogen, als één getal.
• Per dag: calorieën, eiwit, koolhydraten, vet en vezels, je doelen voor die dag, water, je stappen uit Apple Gezondheid, hoeveel maaltijden je hebt bijgehouden en of de dag binnen je caloriemarge viel.
• De maaltijden zelf — gerechtnamen, tijden en foto's.

Er is geen schakelaar die die lijst korter maakt, en die is er ook nooit geweest. Wat iemand uit je groep ziet, is wat het aanmeldscherm je laat zien voordat je de code intypt: je calorieën en macro's, je maaltijden met hun foto's, welke kant je gewicht op gaat, je reeks en je activiteit — en dat blijft zo zolang je in de groep zit. Wat het stopt, is vertrekken.

Sabzy schrijft drie korte alinea's voor een groep: een over de week, een over de dag tot nu toe en een over één lid, op de pagina van dat lid. Daarin staan namen van mensen en van gerechten, en dat is de bedoeling — „iemand zat er twee dagen overheen” helpt niemand, terwijl „Aziz at dinsdag een fors stuk taart bij het ontbijt” iets is waar een trainer mee aan de slag kan. Namen verschijnen precies zoals ze in Profiel zijn ingesteld, en maaltijden precies zoals ze zijn genoteerd. Alleen de mensen in je eigen groep lezen ze, en diezelfde maaltijden en foto's staan voor die mensen toch al open, dus een alinea laat hun niets zien wat ze niet zelf konden openen.

Deelnemen aan een groep publiceert je laatste dertig dagen in één keer, zodat de groep niet naar een leeg scherm kijkt. Vertrekken stopt verdere publicatie, en je account verwijderen verwijdert de gepubliceerde dagen samen met al het andere. Niemand buiten je eigen groep kan er iets van lezen: de regels van de database laten niemand anders binnen.

Groepsberichten — iemand is toegetreden, iemands reeks heeft een rond getal bereikt, het abonnement loopt bijna af — komen via Firebase Cloud Messaging: de app registreert daarvoor een pushtoken bij je account en onthoudt in welke taal je geschreven wil worden. Groepsberichten zet je uit in Profiel, en uitloggen verwijdert het token.

Wat je toestel verlaat

Google

Foto's, audio en maaltijdbeschrijvingen gaan via Firebase AI Logic naar Googles Gemini-modellen en worden daar verwerkt om het resultaat te maken dat je ziet. Sabzy houdt van de foto, de audio of de tekst op geen enkele server die het beheert een kopie, en zo'n verzoek draagt geen naam, e-mailadres of accountkenmerk mee — alleen de afbeelding, audio of tekst en de opdracht die te analyseren. Hoe Google met die gegevens omgaat, valt onder Googles privacybeleid.

De alinea's van een groep gaan naar diezelfde modellen en zijn de uitzondering daarop. Om er een te schrijven stuurt de app naar Google de profielnaam van elk lid dat erin genoemd wordt en de namen van de maaltijden die opvielen, samen met cijfers die het toestel al heeft uitgerekend. Geen e-mailadres, geen accountkenmerk, geen foto. De alinea komt terug bij de anderen in je eigen groep, die diezelfde maaltijden toch al zelf kunnen openen — maar hem schrijven is een verzoek aan Google, en dat is wat dat verzoek meedraagt.

Gebruiks- en crashrapporten

Sabzy gebruikt twee Firebase-diensten van Google: Analytics, dat telt wat er in de app gebeurt, en Crashlytics, dat een stacktrace vastlegt wanneer de app ermee ophoudt. Zij vertellen ons dat een scherm verwarrend is of dat een build op één iOS-versie stukloopt, zonder dat iemand daarvoor hoeft te schrijven.

Ze staan standaard aan, en er is in de app geen instelling die ze uitzet. In versie 1.4 was die er, 1.6 heeft hem verwijderd. De app verwijderen stopt ze. We zeggen dat liever ronduit dan een knop te beschrijven die er niet is.

Wat er wordt verstuurd:

• Gebeurtenissen uit een vaste lijst die de app zelf vastlegt — dat de onboarding is afgerond, dat een foto is geanalyseerd, dat een maaltijd is genoteerd, dat de paywall is getoond, dat een aankoop is gelukt of mislukt, en welke knop uit een benoemde reeks is ingedrukt. Er staat nergens vrije tekst in: elke waarde is óf een getal dat de app heeft uitgerekend, óf een van een klein aantal vooraf gekozen woorden.
• De naam van het scherm waarop je bent, uit een gesloten lijst van ongeveer twintig.
• Een paar feiten over de installatie in plaats van over het moment: of er een abonnement actief is en met welke looptijd, ruwweg hoe ver je bent in het gebruik van de app, of herinneringen aanstaan, of de AI-functies zijn toegestaan, of de camera is toegestaan, en de taal van de app.
• Cijfers waarmee een persoon of een moment te achterhalen zou zijn, worden bewust in banden gezet in plaats van exact doorgegeven. Een leeftijd komt binnen als “35–44”, en de tijd tot de eerste genoteerde maaltijd als “binnen 5 minuten” of “dezelfde dag”.
• Wat de Firebase-SDK er zelf aan toevoegt: een identificatie voor deze installatie, het toestelmodel, de iOS-versie, de taal, en een globale locatie — hooguit op stadsniveau — afgeleid uit het IP-adres van de verbinding.
• Van Crashlytics, wanneer de app ermee ophoudt: de stacktrace, het toestelmodel en de iOS-versie, en hoe lang de app had gedraaid.

Wat er niet wordt verstuurd: niets van wat je fotografeert, zegt, typt, weegt of eet. Geen lengte, geen gewicht, geen calorieëndoel, geen doelstelling, geen maaltijdnaam. De feiten die aan de installatie-identificatie hangen, laten elk gezondheidskenmerk bewust weg, want een identificatie die een sessie overleeft is daar de verkeerde plek voor.

Er is geen advertentie-identificatie. De app koppelt het AdSupport-framework van Apple niet en vraagt nooit om toestemming voor tracking, omdat hij je niet volgt in apps of op websites van andere bedrijven. Het privacymanifest in de App Store verklaart precies dit.

Firebase wordt beheerd door Google, dat deze rapporten namens ons verwerkt op infrastructuur die buiten je land kan liggen, onder de eigen voorwaarden en het eigen privacybeleid van Google. Ze gaan nergens anders heen, en er wordt niets uit verkocht. Google verwijdert de analytics-gebeurtenissen automatisch zodra de bewaartermijn die op het project is ingesteld verstrijkt; crashrapporten blijven bewaard zolang de crash het verhelpen waard is.

Firebase hangt zijn installatie-identificatie aan deze rapporten, en wij kunnen die identificatie op geen enkele manier aan jou koppelen — dat is de bedoeling, en meteen ook de grens: we kunnen jouw regels niet terugvinden om ze op verzoek te verwijderen. De app verwijderen stopt nieuwe rapporten, en de identificatie overleeft dat niet.

De gedeelde productcatalogus

Wanneer je een streepjescode scant die Sabzy moet opzoeken, worden de gegevens van het product — streepjescode, naam, merk, calorieën en macronutriënten per 100 g, en portiegrootte — weggeschreven naar een catalogus in een openbare iCloud-database, zodat andere mensen die hetzelfde product scannen meteen antwoord krijgen. Die vermelding gaat over het product, niet over jou: er hangt geen identificatie van het toestel of van de persoon die scande aan, en ze is niet te herleiden tot je dagboek.

Betalingen

Abonnementen worden door Apple verkocht via de App Store. Apple handelt de betaling af; kaartnummers, factuuradressen en de gegevens van je Apple Account worden nooit gezien door Sabzy of door de ontwikkelaar ervan. Wat de app krijgt, is Apples ondertekende bewijs van de aankoop. Voor een groepsabonnement geeft de app dat bewijs door aan een eigen Cloud Function in Frankfurt, die Apples handtekening controleert en het plan uit de ondertekende inhoud leest in plaats van de app op zijn woord te geloven. Apple schrijft ook rechtstreeks naar diezelfde functie, via App Store Server Notifications, zodat een verlenging of een opzegging ook een groep bereikt waarvan de eigenaar de app al een maand niet heeft geopend.

Hoe deze derde partijen aan dit beleid worden gehouden

Elke hierboven genoemde partij is op grond van de voorwaarden waaronder ze is ingeschakeld verplicht de gegevens die ze ontvangt te beschermen volgens dezelfde norm als dit beleid uiteenzet, en geen van hen mag die gegevens voor eigen doeleinden gebruiken, er een profiel mee opbouwen of ze verder doorgeven. Er wordt niets naar hen verstuurd buiten wat de tabel beschrijft.

De app bindt tien software-ontwikkelkits van derden in, en alle tien zijn van Google. Negen komen van Firebase: Analytics en Crashlytics, hierboven beschreven; App Check; AI Logic, dat een foto, een spraaknotitie of een beschrijving naar Gemini draagt; Authentication, Cloud Firestore, Cloud Storage en Cloud Functions, die samen het account, de synchronisatie en de groepen zijn; en Cloud Messaging, dat de berichten van een groep bezorgt. De tiende is Google Sign-In, een van de twee manieren om in te loggen. Er zit geen advertentie- of trackingkit van welke aard dan ook in, en er is geen moeder-, dochter- of gelieerde onderneming met toegang tot je gegevens — Sabzy is één zelfstandige ontwikkelaar, dus er is niemand anders bij wie gegevens terecht kunnen komen.

App Check verdient een eigen alinea, omdat het bij elke aanroep naar een Google-dienst op je toestel draait en er hier verder niets over staat. Voor elke aanroep vraagt het Apple te bevestigen dat het verzoek van een echte kopie van Sabzy op een echt Apple-toestel komt — via App Attest waar de hardware dat toelaat, en via DeviceCheck waar App Attest ontbreekt — en stuurt het kortlevende token dat Apple afgeeft met de aanroep mee. Dat token zegt iets over de app en het toestel en niets over jou. Het is wat het mogelijk maakt Sabzy uit te brengen zonder een eigen API-sleutel die iemand eruit zou kunnen halen.

Eén naam in de tabel hierboven is niet van Google. Een streepjescode die je scant gaat naar Open Food Facts, een open databank van voedingsproducten die door een Franse vereniging zonder winstoogmerk wordt beheerd. Die krijgt het nummer van de streepjescode en verder niets — geen account, geen apparaatkenmerk, geen stuk van je logboek — en antwoordt met het product. Wat terugkomt is gepubliceerd onder de Open Database License, en wat Open Food Facts met het verzoek doet valt onder haar eigen voorwaarden en privacybeleid.

De Gezondheid-app

De koppeling met Gezondheid is optioneel en staat uit tot je hem aanzet. Als hij aanstaat:

• Sabzy leest wat je dag al bevat: de actieve energie die je hebt verbrand, je stappen, de afgelegde wandel- en hardloopafstand, en workouts die door welke app op je telefoon of horloge dan ook zijn vastgelegd. Het Activiteit-scherm toont ze, en de calorieën die je in je dag overhoudt houden rekening met hoe actief je bent geweest.
• Sabzy schrijft de energie, eiwitten, koolhydraten, vetten en vezels die je noteert weg, en elk weegmoment dat je vastlegt, zodat je andere apps gelijk blijven lopen.

Op één uitzondering na worden gezondheidsgegevens alleen tussen de app en Apple Gezondheid op je toestel uitgewisseld. Al het andere dat de app leest wordt nooit naar Google gestuurd, nooit naar de gedeelde catalogus geschreven en nooit in iCloud bewaard — deze cijfers worden gelezen wanneer een scherm ze nodig heeft en worden nergens opgeslagen. Ze worden nooit voor advertenties gebruikt.

De uitzondering zijn je stappen. Zit je in een groep, dan worden de stappen van die dag samen met de rest van je dagtotalen gepubliceerd, en de anderen in je groep zien ze net zoals ze je calorieën en je water zien. Dat ene getal is het enige uit Gezondheid dat je toestel verlaat — niets anders uit de lijst hierboven gaat mee, en het gewichtsverloop dat je groep ziet wordt berekend uit de weegmomenten die je in Sabzy vastlegt, niet uit Gezondheid. Zit je niet in een groep, dan verlaat er niets uit Gezondheid je toestel.

Toestemmingen die de app vraagt

• Camera — om een maaltijd te fotograferen of een streepjescode te scannen.
• Fotobibliotheek — alleen om je een bestaande foto van een maaltijd te laten kiezen. De app leest de foto die je kiest en verder niets.
• Microfoon — om een gesproken beschrijving van een maaltijd op te nemen.
• Berichtgeving — herinneringen die je zelf instelt, zoals het wekelijkse weegmoment, en de eigen berichten van de groep als je in er een zit. Dat zijn twee aparte schakelaars in Profiel.
• Gezondheid — zoals hierboven beschreven.
• AI-functies — je akkoord dat een foto, een spraaknotitie of een getypte beschrijving naar Google mag. Dezelfde schakelaar bestuurt de geschreven notities, ook die een groep krijgt. Er wordt niets verstuurd voordat je dat geeft.

Elk van deze mag je weigeren. De eerste vijf kun je intrekken in de app Instellingen; de AI-functies zet je uit in Sabzy zelf, onder Profiel › Instellingen. Eén weigeren schakelt de functie uit die het nodig heeft en verder niets.

Wat Sabzy niet doet

• Geen advertentiekits en geen trackingkits. De app bindt tien kits van derden in, allemaal van Google; ze staan hierboven opgesomd, en geen ervan is er om jou te volgen.
• Geen advertenties, en geen advertentie-identificaties.
• Geen tracking in andere apps of op websites.
• Geen profielen die over jou worden opgebouwd, en geen geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare gevolgen.
• Geen verkoop of delen van persoonsgegevens, onder welke definitie en voor welk doel dan ook.

Hoe lang gegevens worden bewaard

Je dagboek blijft op je apparaat tot je het verwijdert. De app verwijderen wist de database op het apparaat. Stond iCloud-spiegeling aan, dan haal je de kopie in je iCloud weg via Instellingen › je naam › iCloud › Opslag beheren › Sabzy.

Als je was ingelogd, blijft de kopie in Cloud Firestore en Cloud Storage bestaan zolang het account bestaat. Daarna niet: Profiel › Account › Account verwijderen wist die voordat het account weggaat, en een back-up waaruit hij terug zou kunnen komen houden we niet. Dagtotalen die aan een groep zijn gepubliceerd gaan mee, en een groep verlaten stopt het schrijven van nieuwe.

Gebruiksgebeurtenissen en crashrapporten bij Firebase verwijdert Google zodra de bewaartermijn van het project verloopt, en de app verwijderen voorkomt nieuwe. Vermeldingen in de gedeelde productcatalogus zijn voedingswaarden van commerciële producten en worden onbeperkt bewaard; omdat er niets over jou in staat, verandert het verwijderen van je gegevens er niets aan.

Kinderen

Sabzy is niet gericht op kinderen onder de 13 en verzamelt niet bewust iets van hen. Denk je dat een kind persoonsgegevens via de app heeft verstrekt, schrijf dan naar het adres hierboven, dan worden ze verwijderd.

Je rechten

Omdat de app je dagboek op je eigen apparaat bewaart, oefen je de meeste rechten rechtstreeks uit: je ziet alles in de app, wijzigt of verwijdert elke invoer, en haalt alles weg door de app en de iCloud-gegevens te verwijderen. Was je ingelogd, dan doet Profiel › Account › Account verwijderen hetzelfde voor de kopie aan onze kant — in één stap en zonder iemand te schrijven.

Voor lezers in de Europese Economische Ruimte en het Verenigd Koninkrijk zijn de rechtsgronden onder artikel 6 AVG deze. Alles wat de app doet om je te geven waar je om vroeg — het dagboek bewaren, een foto herkennen, een door jou aangemaakt account synchroniseren, een groep draaien waaraan je deelneemt — gebeurt op grond van artikel 6, lid 1, onder b, de uitvoering van een overeenkomst met jou. Gebruiks- en crashrapporten worden verwerkt op grond van artikel 6, lid 1, onder f, ons gerechtvaardigd belang om te weten dat de app werkt — daarom staat er niets over je gezondheid in en daarom bestaat de schakelaar in Profiel. Gezondheidsgegevens zijn een bijzondere categorie onder artikel 9 en worden alleen verwerkt met je uitdrukkelijke toestemming, die je in het Health-toestemmingsvenster geeft en daar ook intrekt.

Woon je in de Europese Economische Ruimte of het Verenigd Koninkrijk, dan geeft de AVG je het recht op inzage, rectificatie, wissing, beperking van en bezwaar tegen de verwerking van je persoonsgegevens, en het recht op gegevensoverdraagbaarheid. Woon je in Californië, dan geeft de CCPA je het recht om te weten, te wissen, te corrigeren en je af te melden voor verkoop of delen — met de kanttekening dat Sabzy geen persoonsgegevens verkoopt of deelt. Wil je een van deze rechten uitoefenen, of wil je een klacht indienen, schrijf dan naar mirzo.7767@gmail.com.

Wijzigingen in dit beleid

Als dit beleid verandert, verandert de datum bovenaan mee, en een wezenlijke verandering staat hier voordat ze van kracht wordt. De app kan je geen bericht sturen, dus verschijnt ze op deze pagina. De actuele versie staat altijd op dit adres.