Privacybeleid Hazely

1. Wie wij zijn (verwerkingsverantwoordelijke)

Voor de toepassing van de Algemene verordening gegevensbescherming (Verordening (EU) 2016/679, "AVG") en de Nederlandse Uitvoeringswet AVG (UAVG) is de verwerkingsverantwoordelijke voor de persoonsgegevens die in dit privacybeleid worden beschreven:

Ali Khoshraftarmonfared, een natuurlijke persoon gevestigd in Nederland, handelend onder de naam Tesseractive — de ontwikkelaarsnaam die is gepubliceerd bij de Google Play-vermelding van nl.hazely.app.

Hazely wordt niet geëxploiteerd door een onderneming. Er is nog geen bv, geen andere rechtspersoon en geen inschrijving bij de Kamer van Koophandel. Deze paragraaf noemt daarom geen KvK-nummer, geen btw-nummer en geen rechtsvorm: die zijn er niet, en wij verzinnen ze niet. Een Nederlandse bedrijfsinschrijving wordt geregeld. Zodra die er is, wordt deze paragraaf bijgewerkt en verschijnt dit privacybeleid opnieuw onder een nieuw versienummer.

Postadres. Wij publiceren geen postadres, omdat het enige adres dat vandaag bestaat een privéwoonadres is. U kunt het wel krijgen: vraag ernaar via privacy@hazely.nl en wij sturen het u schriftelijk. Dat is ook het adres dat u gebruikt als u iets formeel wilt betekenen.

Wij zijn gevestigd in Nederland. Een vertegenwoordiger als bedoeld in artikel 27 AVG is daarom niet vereist.

Over dpo@hazely.nl. Wij hebben géén functionaris voor gegevensbescherming (FG) aangewezen, en dat hoeft ook niet op grond van artikel 37, lid 1, AVG: wij zijn geen overheidsinstantie en Hazely opereert niet op de schaal waar die bepaling op ziet. dpo@hazely.nl komt bij dezelfde persoon terecht als privacy@hazely.nl. Het adres wordt gepubliceerd omdat eerdere versies van dit privacybeleid het publiceerden en het nog steeds in de app en op onze website staat. Beschouw het als een doorstuuradres voor privacypost en niet als de aanwijzing van een functionaris voor gegevensbescherming in de zin van de artikelen 37 tot en met 39 AVG. Verandert dat ooit, dan vermelden wij dat hier en melden wij het bij de Autoriteit Persoonsgegevens, zoals artikel 37, lid 7, AVG voorschrijft.

2. Reikwijdte en definities

Dit privacybeleid geldt voor de persoonsgegevens die wij verwerken wanneer u de Hazely-app installeert, opent of gebruikt — nl.hazely.app op Android en nl.hazely.ios op iOS — en wanneer u hazely.nl bezoekt.

• "U" is de persoon die de app of de website gebruikt.
• "Wij" is de verwerkingsverantwoordelijke genoemd in §1.
• "de app" omvat zowel de Android- als de iOS-app. Waar beide zich anders gedragen, vermelden wij dat.

Hazely is een app die uitsluitend informatie geeft. De app toont openbaar vermelde, gedoogde coffeeshops, hun openingstijden, beoordelingen en huisregels, geeft een looproute, haalt tekst uit een foto van een gedrukt menu en toont een naslagcatalogus van cannabissoorten. De app verkoopt niets, neemt geen bestellingen aan, verwerkt geen betalingen en kent geen gebruikersaccounts.

Dit privacybeleid geldt niet voor coffeeshops, websites van derden of andere diensten die u via een link in de app bereikt. Lees hun eigen privacyverklaring.

Twee documenten horen bij deze verklaring:

• Het Cookie- en trackerbeleid beschrijft wat er op uw toestel wordt opgeslagen of daaruit wordt uitgelezen, en welke toestemming daarvoor nodig is op grond van artikel 11.7a Telecommunicatiewet (Tw) en artikel 5, lid 3, van de e-privacyrichtlijn (Richtlijn 2002/58/EG).
• De Kennisgevings- en actieprocedure, die in de app te lezen is, beschrijft hoe u illegale inhoud meldt. U kunt ook schrijven naar abuse@hazely.nl.

Dit privacybeleid is tevens het privacybeleid waarnaar wordt verwezen in het onderdeel Databeveiliging (Data safety) van Google Play en in het privacylabel in de App Store. Die twee opgaven moeten hetzelfde vermelden als dit privacybeleid. Ziet u een verschil, laat het ons weten via privacy@hazely.nl.

3. Welke gegevens wij verwerken

3.1 Gegevens die u ons zelf verstrekt

Wij hebben geen feedbackformulier, en er is geen opmerkingenveld bij de crashrapportage. Versie 2.1 stelde van wel. Dat was onjuist en is verwijderd.

3.2 Gegevens die automatisch worden verzameld

De meeste regels hieronder staan uit tenzij u ze aanzet. Firebase Analytics, Crashlytics en Performance Monitoring zijn in het app-manifest uitgeschakeld uitgeleverd en blijven uit totdat u toestemming geeft. Enkele regels draaien ongeacht uw keuzes; die zijn als zodanig gemarkeerd.

De precieze analysegebeurtenissen. Alleen als u Analyse aanzet, kan de Android-app deze gebeurtenissen naar Google sturen. Elke gebeurtenis is gekoppeld aan een app-instantie-identificatiecode van Firebase: een pseudonieme code per installatie, die Google over uw sessies heen kan koppelen.

De iOS-app stuurt een kleinere set: search_submitted (lengte van de zoekopdracht en aantal resultaten), shop_selected (shop-ID en naam), strain_viewed (soort-ID en naam van de soort — de Android-tegenhanger stuurt het type in plaats van de naam), menu_scan_started (shop-ID) en navigation_started (shop-ID en naam).

Android kort elke parameterwaarde tot 100 tekens in voordat die wordt verstuurd. iOS doet dat niet, wat voor geen van de bovenstaande parameters uitmaakt: geen daarvan bevat tekst die u hebt getypt.

3.3 Wat er met uw menufoto's gebeurt

Vóórdat de camera opent, op beide platforms, meldt de app u dat een AI de foto leest en vraagt zij u gezichten, identiteitsdocumenten en kentekenplaten buiten beeld te houden, waarna u om bevestiging wordt gevraagd. U kunt op dat moment annuleren. Er wordt niets vastgelegd of verstuurd zolang u niet bevestigt. Daarna:

• Uw camera maakt de foto. Op Android wordt die naar de privécache van de app geschreven, gedraaid, verkleind en opnieuw gecomprimeerd; daarna wordt het tijdelijke bestand verwijderd. Op iOS wordt de foto in het werkgeheugen gecomprimeerd. Het opnieuw comprimeren verwijdert als neveneffect de EXIF-metagegevens.
• De afbeelding wordt geüpload via HTTPS (maximaal 8 MB) naar onze Cloud Function in europe-west1 (België). Hebt u gescand vanaf de pagina van een shop, dan wordt de ID van die shop meegestuurd.
• Onze server codeert de afbeelding opnieuw om metagegevens in EXIF, IPTC en XMP te verwijderen. Kan de afbeelding niet worden gedecodeerd, en dus niet worden geschoond, dan wordt de upload geweigerd — u wordt gevraagd de foto opnieuw te maken, en er gaat niets naar wie dan ook. Versie 2.1 beloofde onvoorwaardelijk schonen terwijl de server bij een mislukte decodering de oorspronkelijke bytes doorstuurde. Dat is hersteld en uitgerold; de belofte is nu waar zonder voorbehoud.
• De geschoonde afbeelding gaat naar de Gemini-API van Google op generativelanguage.googleapis.com — de Gemini Developer API, een wereldwijd eindpunt zonder garantie dat de gegevens in de EU blijven. Versie 2.1 stelde dat een "EU-regio was geselecteerd". Dat was onjuist. Versie 2.1 noemde daarnaast Anthropic, PBC als alternatieve aanbieder; er wordt geen enkele dienst van Anthropic gebruikt en die naam is verwijderd.
• Wij bewaren de afbeelding nooit. Alleen de eruit gehaalde tekst.
• Het resultaat (namen van items, categorieën, waarschuwingen) wordt in onze database vastgelegd als een record met een willekeurige ID en zonder enige identificatiecode van u. Het wordt maximaal 30 minuten bewaard en daarna verwijderd — zie §7 voor hoe dat wordt afgedwongen.
• Namen van soorten op uw foto die nog niet in onze catalogus staan, worden als door AI gegenereerde vermeldingen toegevoegd aan een gedeelde, openbare soortencatalogus en aan alle gebruikers getoond. Deze worden onbeperkt bewaard. Zij bevatten geen informatie over u.
• Per scan logt onze server de omvang van de afbeeldingen, het mediatype en de shop-ID. Die logregel staat in dezelfde logvermelding als uw IP-adres.

Traint Google op uw foto? Wij gaan u niet vertellen dat dat niet gebeurt, omdat wij niet hebben vastgesteld dat wij dat mogen zeggen. De aanvullende voorwaarden van Google voor de Gemini-API behandelen gegevensgebruik verschillend per dienstniveau en per vestiging van de klant, en welk van die gevallen op onze API-sleutel van toepassing is, blijkt niet uit de broncode van de app. Versie 2.1 stelde botweg dat afbeeldingen nooit worden gebruikt om het model te trainen. Wij hebben die uitspraak verwijderd in plaats van haar ongecontroleerd te herhalen. Wilt u liever dat er helemaal geen foto van u bij Google terechtkomt, gebruik dan Menu scannen niet: er wordt niets verstuurd tenzij u een scan start en bevestigt.

3.4 Wat wij bewust niet verzamelen

• Inloggegevens. Er is nergens in de app een inlogfunctie.
• Betaalgegevens. De app verwerkt geen betalingen.
• Uw huis- of werkadres.
• Locatie op de achtergrond. Wij vragen die niet en de app kan u niet volgen wanneer die is afgesloten.
• Uw contacten, uw fotobibliotheek, uw microfoon of uw agenda.
• Gezondheids-, biometrische of identiteitsgegevens — wij vragen u daar nooit om.
• Een eigen gebruikers-ID. Wij roepen setUserId nooit aan. Wij bouwen geen profiel over meerdere toestellen.
• Uw favorietenlijst. Die blijft op uw toestel.
• Uw locatie, op onze eigen servers. Onze shop-API wordt zonder enige coördinaat aangeroepen.
• Wat u in de zoekbalk van de kaart typt. Die tekst filtert de lijst op uw toestel; alleen de lengte en het aantal resultaten worden ooit verstuurd, en alleen met Analyse aan. Dit geldt niet voor de zoekfunctie van de soortencatalogus, die wél wordt verstuurd — zie §3.1.

Versie 2.1 stelde daarnaast dat wij geen "registratie van welke coffeeshop u hebt bezocht" verzamelen. Die uitspraak was onjuist wanneer Analyse aanstaat, en is verwijderd. Zie §3.5.

3.5 Cannabis, coffeeshops en bijzondere categorieën van persoonsgegevens

Wij vragen u nooit naar uw cannabisgebruik, uw gezondheid of wat u koopt. Wij houden geen aankoopgegevens en geen bezoekregistratie bij, en uw locatie bereikt onze servers nooit.

Toch zeggen wij niet dat elke gevolgtrekking is uitgesloten. Als u Analyse aanzet, bevatten de gebeurtenissen uit §3.2 de namen van coffeeshops die u opent, favoriet maakt, waarheen u een route vraagt en waar u een menu fotografeert, en de soortpagina's die u leest — alles onder één identificatiecode per installatie die bij Google berust, en bewaard gedurende de bewaartermijn voor analysegegevens. Een menubord fotograferen kan bovendien normaal gesproken alleen terwijl u fysiek in die shop bent.

De Europese rechtspraak hanteert een ruime toets: gegevens kunnen onder artikel 9, lid 1, AVG vallen als zij een bijzondere categorie indirect kunnen onthullen, en niet alleen wanneer zij die expliciet vermelden (HvJ EU 1 augustus 2022, C-184/20, OT; HvJ EU 4 juli 2023, C-252/21, Meta Platforms; HvJ EU 4 oktober 2024, C-21/23, Lindenapotheke). Of belangstelling voor een coffeeshop "gegevens over gezondheid" is in de zin van artikel 4, punt 15, AVG, is door geen rechter of toezichthouder beslist. Wij gaan niet beweren dat het antwoord vanzelfsprekend nee is, en evenmin dat het vanzelfsprekend ja is. Wat wij u wél kunnen vertellen, is precies wat er wordt verstuurd — dat staat in de tabel hierboven.

Wat dit in de praktijk voor u betekent: wilt u niet dat die gegevensstroom bestaat, laat Analyse dan uit. Analyse staat standaard uit en weigeren kost u niets — elke functie van de app werkt precies hetzelfde. Crashrapportage bevat hetzelfde signaal in kleinere vorm, via de twee Crashlytics-sleutels uit §3.2, en staat eveneens standaard uit.

Wij hebben extern advies gevraagd over de vraag of de shop-ID en de naam van de shop helemaal uit die gebeurtenissen moeten verdwijnen. Zolang dat niet is beslist, geldt de stand van zaken zoals hier beschreven, en niet een belofte die wij niet hebben uitgevoerd.

3.6 Gegevens over mensen die Hazely niet gebruiken

Sommige gegevens die wij houden, gaan over mensen die de app nooit hebben gebruikt. Artikel 14 AVG is daarop van toepassing, en deze paragraaf is die kennisgeving.

Twee dingen die wij liever anders hadden opgeschreven, weergegeven zoals zij zijn:

• Er is geen automatische verwijdering voor de gecachete reviews en foto's. Wij hebben geen termijn vastgesteld en publiceren geen termijn die wij niet afdwingen. Wij verwijderen op verzoek, en wij verwijderen de gecachete inhoud van een shop zodra wij die shop niet meer vermelden.
• Wij geven deze kennisgeving openbaar in plaats van individueel. Wij hebben geen contactgegevens van recensenten — de Places API geeft ons een weergavenaam, geen adres — dus er is niemand om aan te schrijven. Wij stellen hier níet dat artikel 14, lid 5, onder b), AVG (onevenredige inspanning) van toepassing is; die beoordeling is niet afgerond. Wij vertellen u wat wij houden en hoe u het laat verwijderen.

Bent u de auteur van een review of staat u op een foto, en wilt u dat dit wordt verwijderd? Mail dan privacy@hazely.nl. Wij verwijderen het uit onze cache. Wij kunnen het niet bij Google verwijderen.

4. Doeleinden, grondslagen, ontvangers en bewaartermijnen

4.1 De volledige tabel

Regels op basis van toestemming zijn gemarkeerd met Toestemming. Wanneer bij de verwerking ook informatie op uw toestel wordt opgeslagen of daaruit wordt uitgelezen, vereist artikel 11.7a Tw die toestemming los van de AVG; dat is aangeduid met (+ Tw 11.7a).

Waar wij ons beroepen op gerechtvaardigde belangen (artikel 6, lid 1, onder f), AVG) zijn die belangen: u een werkende kaart en routebeschrijving geven; openbare vermeldingen accuraat houden; de dienst veilig en beschikbaar houden; de door u gegeven toestemming kunnen aantonen; en minderjarigen weren uit een cannabisgerelateerde app. U kunt daartegen bezwaar maken op grond van artikel 21 AVG — zie §9.

Twee grondslagen zijn gewijzigd sinds versie 2.1, en dat is in uw voordeel. Versie 2.1 noemde artikel 6, lid 1, onder c), AVG (wettelijke verplichting) voor de leeftijdscontrole en de akkoordregistratie. Artikel 6, lid 3, AVG vereist dat zo'n verplichting is neergelegd in Unierecht of nationaal recht, en die is er hier niet: de gedoogcriteria van de Opiumwet binden de coffeeshop en niet een informatieve app, en de leeftijd daar is 18, terwijl onze 21+-regel voortkomt uit het beleid van de appwinkels. Wij beroepen ons nu op artikel 6, lid 1, onder f), AVG. Het praktische verschil is in uw voordeel: bij grondslag c) bestaat geen recht van bezwaar, bij grondslag f) wel.

Over Remote Config en App Check. Geen van beide draait voordat u het toestemmingsscherm hebt beantwoord, op geen van beide platforms — dat is een harde blokkade in de code en geen gewoonte, en zij geldt ongeacht wat u antwoordde, omdat de blokkade "update vereist" moet blijven werken voor iemand die alles wat optioneel is heeft geweigerd. Voor de opslag op het toestel die beide daarna gebruiken, beroepen wij ons op de uitzondering "strikt noodzakelijk" in artikel 11.7a, derde lid, onder b, Tw. Die beoordeling is de onze; zij is niet bevestigd door een externe adviseur of door een toezichthouder. Wij zeggen dat liever dan haar als vaststaand te presenteren.

4.2 Bent u verplicht deze gegevens te verstrekken? (artikel 13, lid 2, onder e), AVG)

Niets hiervan is een wettelijke of contractuele verplichting om gegevens te verstrekken, behalve dat wij de app niet rechtmatig en niet praktisch kunnen aanbieden aan iemand die niet wil bevestigen 21 jaar of ouder te zijn.

4.3 Advertenties en partnerlinks, zoals het er vandaag werkelijk voor staat

In Hazely draaien geen advertenties. De Android-app bevat de SDK van Google Mobile Ads (AdMob) en het gecertificeerde toestemmingsplatform van Google (UMP), maar alle zes advertentieplaatsingen staan uit, zowel in de ingebouwde standaardwaarden van de app als in de gepubliceerde serverconfiguratie. Er wordt geen advertentie opgevraagd, er wordt nooit een advertentietoestemmingsformulier getoond, de advertentie-SDK wordt nooit gestart en er is nooit een advertentie getoond. De iOS-app bevat helemaal geen advertentie-SDK.

Er draait evenmin enige vorm van affiliate- of partnerverdienmodel. De kaart "eten in de buurt" die kan verschijnen wanneer u bij een shop aankomt, bevat vandaag geen partnerlink: de functie staat uit en de partner-URL is leeg. Wij nemen aan geen enkel affiliateprogramma deel en ontvangen nergens in de app een commissie.

5. Ontvangers — wie uw gegevens verder verwerkt

Verwijderd in deze versie: Anthropic, PBC en Hetzner Online GmbH / de huidige VPS-aanbieder werden in versie 2.1 beide als verwerker genoemd. Geen van beide ontvangt gegevens. Er is nergens in onze systemen een aanroep naar Anthropic, en wij draaien geen VPS meer. GoDaddy stond vermeld als onze domeinregistrar; een registrar verwerkt uw persoonsgegevens niet en is verwijderd.

Over verwerkersovereenkomsten. Versie 2.1 stelde dat elke verwerker "contractueel gebonden is door een verwerkersovereenkomst op grond van artikel 28 AVG". Dat herhalen wij niet, omdat wij het niet voor elke ontvanger in de tabel hierboven hebben gecontroleerd, en het opschrijven makkelijker is dan het nakijken. Waar een ontvanger helemaal geen verwerker is, zeggen wij dat nu: AdMob is zelfstandig verwerkingsverantwoordelijke voor advertentiegegevens, en Google Play en Apple zijn dat voor hun eigen winkelgegevens. Wij werken de rest na; zodra dat rond is, vermeldt deze paragraaf per ontvanger welke voorwaarden gelden, in plaats van één geruststellende zin.

Wij verkopen uw gegevens aan niemand, nooit.

6. Doorgifte buiten de EER (hoofdstuk V AVG)

Sommige van de hierboven genoemde ontvangers verwerken gegevens buiten de Europese Economische Ruimte. Het is van belang precies te zijn over welke dat zijn; versie 2.1 was dat niet.

Versie 2.1 stelde dat Firebase Analytics en Crashlytics werden verwerkt in de "EU (regio Frankfurt)" en dat Gemini draaide in "een geselecteerde EU-regio". Beide uitspraken zijn onjuist. De eigen documentatie van Google (Privacy and Security in Firebase, pagina laatst bijgewerkt op 18 februari 2026) vermeldt dat de meeste Firebase-diensten draaien op wereldwijde Google-infrastructuur zonder keuze van gegevenslocatie, en het eindpunt van de Gemini Developer API dat wij aanroepen biedt geen regiokeuze.

Voor elke doorgifte buiten de EER beroepen wij ons op:

• de standaardcontractbepalingen van de EU (Uitvoeringsbesluit (EU) 2021/914 van de Commissie); en
• waar de ontvanger gecertificeerd is, het EU-VS-kader voor gegevensbescherming (adequaatheidsbesluit: Uitvoeringsbesluit (EU) 2023/1795 van de Commissie, van kracht). Tegen dat besluit is een hogere voorziening aanhangig bij het Hof van Justitie (C-703/25 P); daarom houden wij de standaardcontractbepalingen daarnaast in stand.

Vraag ons via privacy@hazely.nl om een kopie van de waarborgen.

7. Hoe lang wij gegevens bewaren

Versie 2.1 beloofde daarnaast een "auditlog van AI-API-aanroepen" met een bewaartermijn van 90 dagen, "nachtelijke databaseback-ups" die 14 dagen werden bewaard, en onomkeerbare verwijdering "binnen zeven dagen" na afloop van een bewaartermijn. Geen van die maatregelen bestaat. Zij zijn verwijderd in plaats van opnieuw opgenomen.

8. Geautomatiseerde besluiten, profilering en AI-functies

8.1 Geautomatiseerde besluitvorming (artikel 22 AVG)

Wij nemen geen geautomatiseerde besluiten met rechtsgevolgen voor u of die u anderszins in aanmerkelijke mate treffen. Niets in de app geeft u een score, rangschikt u, deelt u in segmenten in of stelt een profiel van u op. Het scannen van een menu leest tekst uit een foto; het besluit niets over u.

8.2 AI-transparantie (artikel 50, Verordening (EU) 2024/1689 — de AI-verordening)

Artikel 50 van de AI-verordening is van toepassing sinds 2 augustus 2026. Twee functies van Hazely gebruiken AI; dit is onze kennisgeving voor beide. Een kennisgeving die alleen in een document als dit staat, is op zichzelf niet genoeg, en daarom staan beide ook in de app zelf.

Menu scannen. Wanneer u op Menu scannen tikt, leest een AI-systeem — Gemini van Google — de tekst op uw foto en zet die om in een lijst. Resultaten kunnen onvolledig of onjuist zijn. Vertrouw voor prijzen, beschikbaarheid of iets wat er werkelijk toe doet niet op een scan. In de app:

• Beide platforms melden u vóórdat de camera opent dat de scan met AI werkt, wat eruit wordt gehaald, en dat gezichten, identiteitsdocumenten en kentekenplaten buiten beeld horen te blijven, en vragen u om bevestiging. U kunt op dat moment annuleren; er wordt dan niets vastgelegd of verstuurd.
• Beide platforms herhalen bij het resultaat dat het door AI is gemaakt en onvolledig of onjuist kan zijn.

Door AI gegenereerde soortvermeldingen. Zoekt u in de soortencatalogus naar een soort die wij niet hebben, dan genereert een AI-systeem een vermelding — naam, type indica/sativa, THC- en CBD-bereik, effecten, smaken, afkomst en een beschrijving van één regel — en slaat die voor iedereen op in de gedeelde catalogus. Deze vermeldingen zijn door AI geschreven. Zij zijn niet door een mens gecontroleerd en kunnen onjuist zijn.

Onomwonden, want dit is het zwakste punt in onze AI-transparantie: die vermeldingen worden naast door mensen samengestelde vermeldingen getoond zonder zichtbaar label "door AI gegenereerd", en het record draagt geen machineleesbare markering dat het door AI is gemaakt — het veld daarvoor bestaat nog niet in ons gegevensformaat. Zolang beide ontbreken: behandel elke soortvermelding in Hazely als mogelijk door AI geschreven, en beschouw deze paragraaf als de kennisgeving dat dat zo kan zijn.

Geen van beide functies is een AI-systeem met een hoog risico in de zin van bijlage III bij de AI-verordening.

9. Uw rechten

U hebt de volgende rechten. Het uitoefenen ervan is kosteloos en wij antwoorden binnen één maand (met twee maanden te verlengen bij complexe verzoeken, artikel 12, lid 3, AVG).

Hoe dient u een verzoek in: mail privacy@hazely.nl. De pagina hazely.nl/data-request beschrijft wat u meestuurt en wat er daarna gebeurt; het is een pagina die u kunt lezen, geen doorverwijzing.

Eén tekortkoming aan onze kant, benoemd in plaats van verzwegen: de Android-app heeft geen link in de app naar die pagina. De iOS-app wel, onder Instellingen. Op Android bereikt u de pagina via hazely.nl, of u mailt rechtstreeks naar privacy@hazely.nl — dat werkt even goed.

Een eerlijke beperking van inzage, gegevenswissing en dataportabiliteit. Wij hebben de app bewust gebouwd zonder accounts en zonder enige eigen identificatiecode. Dat is goed voor uw privacy, en het heeft een prijs: de analyse-, crash- en prestatiegegevens die bij Google berusten, zijn gekoppeld aan een identificatiecode per installatie die wij niet aan u kunnen koppelen en die de app u niet toont. Waar wij u werkelijk niet kunnen identificeren, bepaalt artikel 11, lid 2, AVG dat de artikelen 15 tot en met 20 niet van toepassing zijn, tenzij u ons informatie verstrekt waarmee identificatie wel mogelijk wordt.

Wat wij altijd kunnen doen:

• Een verzoek van een eigenaar of een melding die u hebt ingediend verwijderen of corrigeren, aan de hand van het e-mailadres dat u gaf.
• Correspondentie verwijderen die u naar een van onze gepubliceerde adressen stuurde.
• Bevestigen welke categorieën gegevens bestaan en waar — dit privacybeleid.
• U vertellen hoe u alles op uw toestel wist: de app verwijderen, of Instellingen → Reset al mijn privacykeuzes gebruiken.

En het praktische antwoord, dat beter is dan al het voorgaande: wilt u niet dat er bij Google analyse-, crash- of prestatiegegevens over uw installatie bestaan, laat die schakelaars dan uit. Zij staan uit tenzij u ze aanzet, en het verwijderen van de app gooit de identificatiecode weg waaraan zij hingen.

10. Optionele verwerkingen uitschakelen

11. Beveiliging

Wat wij feitelijk doen:

• Versleuteling tijdens transport. TLS op elke verbinding tussen de app, onze backend en elke verwerker. Onversleuteld verkeer is in de Android-app uitgeschakeld.
• Een afgesloten database. Onze beveiligingsregels voor Firestore weigeren elke rechtstreekse toegang door clients. Niets bereikt de database anders dan via onze eigen API.
• App-attestatie. Op Android dragen verzoeken een Play Integrity-token van Google via Firebase App Check, zodat wij een echte installatie van een script kunnen onderscheiden.
• Verkeersbegrenzing. De API, en in het bijzonder het eindpunt voor menuscans, is begrensd om misbruik en ontspoorde kosten te voorkomen.
• Beheerde geheimen. API-sleutels berusten in Google Secret Manager en worden tijdens de uitvoering aan de backend meegegeven. Zij staan niet in onze broncode.
• Scheiding van gegevens. Openbare shopgegevens worden apart opgeslagen van persoonlijke inzendingen zoals verzoeken van eigenaren en meldingen.
• Menuafbeeldingen worden nooit naar opslag geschreven. Alleen de eruit gehaalde tekst wordt opgeslagen.
• Verwijderen van metagegevens, zonder uitzondering. Menufoto's worden op de server opnieuw gecodeerd om EXIF-, IPTC- en XMP-metagegevens te verwijderen, en een afbeelding die wij niet opnieuw kunnen coderen wordt geweigerd in plaats van doorgestuurd. Er is geen route waarlangs een ongeschoonde afbeelding bij Google terechtkomt.

Versie 2.1 beschreef een Nginx-reverseproxy, een dienst gebonden aan localhost:8080, een geheimenbestand met chmod 600, onbeheerde beveiligingsupdates van het besturingssysteem, en het inkorten van IP-adressen bij ontvangst. Dat beschreef een zelfgehoste server die wij niet meer gebruiken. Niets daarvan geldt voor het huidige systeem, en de maatregel om IP-adressen in te korten bestaat daarin niet.

Geen enkel systeem is ondoordringbaar. Doet zich een datalek voor, dan melden wij dat waar vereist binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33 AVG).

Hoe wij u zouden informeren. Wij hebben geen accounts, geen e-mailadres van u en geen pushmeldingen. Wij kunnen getroffen gebruikers daarom niet individueel benaderen. Levert een datalek waarschijnlijk een hoog risico op voor uw rechten en vrijheden, dan beroepen wij ons op artikel 34, lid 3, onder c), AVG en doen wij een openbare mededeling: een bericht op hazely.nl en een bericht in de app. Versie 2.1 beloofde u rechtstreeks te informeren. De app kan dat niet.

12. Kinderen en de 21+-leeftijdscontrole

Hazely is niet bedoeld voor personen jonger dan 21 jaar. Bij de eerste start vragen wij u te bevestigen dat u 21 jaar of ouder bent, en Android blokkeert de app als u aangeeft van niet.

Dit is een eigen verklaring. Wij kunnen niemands werkelijke leeftijd controleren en proberen dat ook niet — leeftijdscontrole zou betekenen dat wij identiteitsdocumenten verzamelen, wat veel ingrijpender is dan het probleem dat het oplost.

Wij verwerken niet bewust gegevens van personen jonger dan 21 jaar. Bent u ouder of voogd en denkt u dat iemand jonger dan 21 de app heeft gebruikt, mail dan privacy@hazely.nl. Vrijwel alles wat de app bewaart, staat op het toestel zelf, dus het verwijderen van de app wist het onmiddellijk.

Versie 2.1 omschreef de leeftijdscontrole als "een technische maatregel op grond van artikel 8 AVG". Die verwijzing was onjuist — artikel 8 AVG regelt de toestemming van een kind voor onlinediensten beneden de leeftijd van 16 jaar (in Nederland op 16 jaar gesteld door artikel 5 UAVG), en dat is iets anders dan een verklaring 21+ te zijn. De verwijzing is verwijderd.

13. Wijzigingen in dit privacybeleid

Wij werken dit privacybeleid bij wanneer verandert wat wij doen. De versie en de ingangsdatum die bij dit document staan, wijzen altijd de geldende tekst aan.

Wat leidt tot een nieuwe vraag, en wat niet. De akkoordcontrole in de app is gekoppeld aan de gebruiksvoorwaarden en het Cookie- en trackerbeleid — de twee documenten waarvoor u om akkoord wordt gevraagd — en niet aan dit privacybeleid, dat informatie is die wij u verschuldigd zijn en niet iets waarmee u instemt. Per platform, onomwonden:

• Op Android slaat de app de exacte versieaanduiding op waarmee u voor die twee documenten akkoord ging, en vraagt opnieuw zodra een van beide verandert, ook bij een kleine wijziging zoals 2.1 naar 2.2. Vroeger sloeg de app een geheel getal op, waardoor kleine wijzigingen bij niemand tot een nieuwe vraag leidden; dat is hersteld.
• Op iOS legt de app alleen vast dát u akkoord ging, niet met welke versie. Geen enkele documentwijziging leidt vandaag op iOS tot een nieuwe vraag. Dat gat is er, en wij noemen het niet anders.
• Een wijziging van dit privacybeleid leidt op zichzelf op geen van beide platforms tot een nieuwe vraag.

Is een wijziging hier wezenlijk, dan publiceren wij die op hazely.nl/privacybeleid en hazely.nl/privacy en vermelden wij die in de release-informatie van de app.

Eerdere versies. Wij publiceren geen archiefpagina. Vraag privacy@hazely.nl om de tekst van een eerdere versie en wij sturen die toe. Versie 2.1 beloofde een archief op hazely.nl/privacy/archive dat nooit heeft bestaan; die belofte is geschrapt in plaats van te blijven staan.

Eén tekst, meerdere plaatsen. De Nederlandse tekst van dit privacybeleid wordt uit één bronbestand gegenereerd naar hazely.nl/privacybeleid en naar de Android-app voor toestellen die op Nederlands staan. De Engelse tekst gaat op dezelfde manier naar hazely.nl/privacy en naar de Android-app. De schermtitels in de app zijn nog Engels, ook wanneer de tekst eronder Nederlands is. iOS opent de gepubliceerde webversie in plaats van een eigen kopie mee te leveren.

Een beperking die u moet kennen. Een deel van de tekst in de app — waaronder de tekst op het leeftijds- en toestemmingsscherm — kan op afstand worden vervangen via Firebase Remote Config, zonder nieuwe app-uitgave. Wij gebruiken dit om formuleringen snel te herstellen. Het betekent dat wij geen momentopname bewaren van de precieze woorden die u zag toen u toestemming gaf, en dus achteraf niet exact kunnen aantonen wat een individuele gebruiker heeft gelezen. Wij vertellen u dat omdat artikel 7, lid 1, AVG daarvan ons probleem maakt en niet het uwe; het beperkt geen enkel recht dat u op grond van §9 hebt.

14. Contact en klachten

• Privacyvragen en verzoeken over uw rechten: privacy@hazely.nl
• Contactpunt gegevensbescherming: dpo@hazely.nl (een doorstuuradres — zie §1)
• Juridisch: legal@hazely.nl
• Beveiliging: security@hazely.nl
• Illegale inhoud en misbruik: abuse@hazely.nl
• Postadres: niet gepubliceerd. Vraag ernaar via privacy@hazely.nl en wij sturen het u schriftelijk.
• Nederlandse toezichthouder: Autoriteit Persoonsgegevens, https://www.autoriteitpersoonsgegevens.nl — u kunt daar op elk moment een klacht indienen, en u hoeft niet eerst contact met ons op te nemen.

Wijzigingsoverzicht

Versie 3.0 — 4 augustus 2026 (vervangt versie 2.1 van 21 mei 2026)

Dit is een grote versie, omdat de vorige versie een systeem beschreef dat wij niet meer gebruiken en op meerdere plaatsen een gegevensverwerking beschreef die niet overeenkwam met de app. Op grond van artikel 5, lid 1, onder a), en artikel 13 AVG moet een privacyverklaring juist zijn, en het corrigeren van een onjuiste verklaring is zelf een wezenlijke wijziging.

Wie wij zijn, eindelijk:

1. De verwerkingsverantwoordelijke wordt nu bij naam genoemd — een natuurlijke persoon gevestigd in Nederland, handelend onder de naam die bij de Google Play-vermelding staat. Versie 2.1 verwees naar "de uitgever zoals vermeld in de Google Play-vermelding", wat een iOS-gebruiker of een websitebezoeker niets vertelde (§1). 2. Er wordt geen bedrijfsinschrijving geclaimd, omdat die er nog niet is. Zodra er een Nederlandse inschrijving is, wordt §1 bijgewerkt en verschijnt dit privacybeleid opnieuw (§1). 3. Een postadres is op verzoek beschikbaar in plaats van gepubliceerd; §1 en §14 vermelden dat allebei, met het adres waar u het kunt opvragen (§1, §14). 4. dpo@hazely.nl wordt toegelicht in plaats van dubbelzinnig gelaten: er is geen functionaris voor gegevensbescherming aangewezen, dat hoeft ook niet, en het adres is een doorstuuradres (§1).

Correcties van uitspraken die niet juist waren:

5. Zoektekst. Versie 2.1 stelde dat zoekopdrachten "alleen in het werkgeheugen — nooit verzonden" waren. Met Analyse aan werd de onbewerkte tekst van een kaartzoekopdracht wél naar Google gestuurd. Dat gebeurt niet meer: alleen het aantal tekens en het aantal resultaten gaan mee, op beide platforms. De oorspronkelijke uitspraak is weer juist, en §3.4 formuleert haar in de nauwe vorm die feitelijk klopt (§3.1, §3.2, §3.4). 6. Zoekopdrachten naar soorten. Tekst die in de soortencatalogus wordt getypt, gaat wél naar onze server en vandaar naar Google Gemini wanneer er lokaal geen match is. Eerder niet vermeld, en nu bewust van de kaartzoekfunctie gescheiden zodat het verschil zichtbaar is (§3.1). 7. Hosting. "Hetzner Online GmbH of de huidige VPS-aanbieder" verwijderd. Google Cloud Functions en Firestore in europe-west1 toegevoegd; daar staan de gegevens werkelijk (§5, §6). 8. Anthropic. Verwijderd. Er wordt geen enkele dienst van Anthropic gebruikt; menuscans gebruiken uitsluitend Google Gemini (§3.3, §5). 9. Gegevenslocatie. De uitspraken dat Firebase Analytics en Crashlytics in de "EU (Frankfurt)" draaien en dat Gemini in een geselecteerde EU-regio draait, zijn verwijderd. Alle drie zijn wereldwijde diensten (§6). 10. IP-adressen. De uitspraak dat IP-adressen bij ontvangst tot /24 en /48 worden ingekort, is verwijderd. Zij worden nergens in het huidige systeem ingekort (§3.2, §7, §11). 11. Verwijderen van EXIF. De onvoorwaardelijke belofte van versie 2.1 was destijds onjuist: een afbeelding die de server niet kon decoderen, werd ongeschoond doorgestuurd. De server weigert zo'n upload nu, waardoor de belofte klopt zoals zij is opgeschreven (§3.3, §11). 12. Bewaartermijn menuscans. "Alleen in het werkgeheugen van de server" gecorrigeerd naar het feitelijke databaserecord, en de 30 minuten worden nu afgedwongen door een vervalbeleid dat het record verwijdert, of iemand het nog leest of niet (§3.3, §7). 13. De trainingsclaim over menufoto's is verwijderd, niet afgezwakt. Wij stellen niet dat Google niet op uw afbeelding traint, omdat wij niet hebben vastgesteld dat wij dat mogen (§3.3). 14. "Wij verzamelen geen registratie van welke coffeeshop u hebt bezocht" — verwijderd, omdat de analysegebeurtenissen dat tegenspreken. §3.5 geeft nu eerlijk de stand van zaken weer in plaats van te betogen dat artikel 9 AVG niet van toepassing kan zijn (§3.4, §3.5). 15. Het hoofdstuk beveiliging is herschreven voor de Firebase-architectuur; de beschrijving met Nginx, localhost:8080, chmod 600 en onbeheerde updates is verwijderd (§11). 16. Melding van datalekken is herzien tot een openbare mededeling op grond van artikel 34, lid 3, onder c), AVG, omdat de app u niet individueel kan benaderen (§11). 17. Beloften over bewaartermijnen verwijderd die niet waren geïmplementeerd: het auditlog van AI-aanroepen, de nachtelijke back-ups, de verwijderingstermijn van zeven dagen, en de 24 maanden voor verzoeken van eigenaren (§7). 18. AdMob is opnieuw omschreven als zelfstandig verwerkingsverantwoordelijke voor advertenties, niet als verwerker in de zin van artikel 28 AVG — en het hele advertentiehoofdstuk is herschreven om onomwonden te zeggen dat er vandaag niets draait (§4.3, §5). 19. De algemene toezegging over artikel 28 AVG is geschrapt. Wij stellen niet dat elke ontvanger door een verwerkersovereenkomst is gebonden, omdat wij dat niet voor elke ontvanger hebben gecontroleerd (§5). 20. Grondslagen gecorrigeerd: artikel 6, lid 1, onder c), AVG geschrapt voor de leeftijdscontrole en de akkoordregistratie; in plaats daarvan artikel 6, lid 1, onder f), AVG, wat u een recht van bezwaar geeft dat de oude grondslag niet gaf (§4.1). 21. De verwijzing naar artikel 8 AVG is uit het hoofdstuk over kinderen verwijderd (§12). 22. Feedbackformulieren en opmerkingen bij crashrapporten verwijderd — geen van beide bestaat (§3.1). 23. De archiefbelofte is geschrapt. hazely.nl/privacy/archive heeft nooit bestaan; eerdere versies zijn in plaats daarvan op verzoek verkrijgbaar (§13).

Nieuw vermelde verwerkingen die eerder ontbraken:

24. Firebase Performance Monitoring, inclusief de automatische metingen van netwerkverzoeken, en het feit dat er geen eigen instelling voor is (§3.2, §4.1, §10). 25. Firebase Remote Config en Firebase-installatie-identificatiecodes — nu op beide platforms achter het toestemmingsscherm, waar de iOS-versie van 2.1 nog bij het opstarten ophaalde, vóór de leeftijdscontrole (§3.2, §4.1). 26. Firebase App Check / Google Play Integrity, dat draait ook als u alles wat optioneel is weigert (§3.2, §4.1). 27. De controle op in-app-updates via Google Play, die vóór de leeftijdscontrole draait (§3.2). 28. GitHub, Inc. als ontvanger van crashtitels (§3.2, §5). 29. Microsoft Exchange Online als ontvanger van alles wat naar onze gepubliceerde adressen wordt gemaild (§5, §6). 30. De Android-Advertentie-ID, die door de Analytics-SDK wordt verzameld onder de Analyse-schakelaar in plaats van de advertentieschakelaar (§3.2). 31. Telemetrie van de Mapbox Maps SDK — op Android nu uitgeschakeld tenzij u toestemming voor Analyse gaf, op iOS nog steeds niet geregeld door de app, en met de resterende maandelijkse gebruikerstelling erbij vermeld (§3.2, §4.1, §10). 32. De nabijheidscontrole van 50 meter op het toestel rond coffeeshops (§3.2). 33. Permanente opslag van door AI gegenereerde soortvermeldingen uit scans en zoekopdrachten (§3.3, §7). 34. De volledige lijst met analysegebeurtenissen, parameter voor parameter (§3.2).

Nieuwe hoofdstukken:

35. §3.6 — een kennisgeving op grond van artikel 14 AVG voor mensen van wie wij de gegevens niet van henzelf hebben verkregen: auteurs van Google-reviews, personen op vermeldingsfoto's en omstanders op menufoto's, inclusief de twee punten die wij daarover nog niet kunnen opschrijven zoals wij zouden willen. 36. §4 — één tabel die doel, gegevens, grondslag, ontvangers en bewaartermijn bij elkaar zet, en §4.2, de opgave op grond van artikel 13, lid 2, onder e), AVG van wat er gebeurt als u weigert. 37. §8.2 — AI-transparantie op grond van artikel 50 van de AI-verordening, van toepassing sinds 2 augustus 2026. Beide platforms tonen de AI-melding nu vóórdat de camera opent; de Android-versie van 2.1 toonde die alleen bij het resultaat. 38. §9 — de beperking van artikel 11, lid 2, AVG op inzage, gegevenswissing en dataportabiliteit, openlijk vermeld in plaats van rechten te beloven die de architectuur niet kan waarmaken. 39. §13 — een eerlijke beschrijving van wat per platform tot een nieuwe vraag leidt, en van het feit dat teksten in de app op afstand kunnen worden gewijzigd.

Bekende gebreken die wij liever publiceren dan verbloemen: de samengevoegde Android-schakelaar "Analyse en prestaties" (§10), het ontbreken van versiebeheer op iOS (§13), het ontbreken van een link naar uw privacyrechten in de Android-app (§9), het ontbreken van een zichtbaar label "door AI gegenereerd" bij gegenereerde soortvermeldingen (§8.2), het ontbreken van een bewaartermijn voor gecachete shopreviews (§3.6), en het feit dat de tekst van het toestemmingsscherm op afstand kan worden gewijzigd (§13). Elk daarvan moet worden opgelost, en elk staat hier beschreven in de vorm die het vandaag werkelijk heeft.