Privacyverklaring

1. Wie wij zijn

Hoekedex wordt gemaakt en aangeboden door de makers van Hoekedex (“wij”). Je bereikt ons via info@hoekedex.net, voor privacyvragen, om misbruik te melden en voor al het andere.

Hoekedex is anders gebouwd dan de meeste apps. Er zijn geen accounts en er is geen database. Alles wat je in de app maakt, staat op je eigen telefoon. Wij krijgen het niet te zien, kunnen het niet aanpassen en kunnen het ook niet voor je terughalen. Wij verwerken alleen iets in de relay (hoofdstuk 3 tot en met 6), bij de verkoop van licentiecodes (hoofdstuk 9) en op deze website (hoofdstuk 10).

2. Wat op je telefoon staat

Bij de eerste start maakt je telefoon zelf twee sleutelparen. Daaruit volgt je ID: een willekeurige code van 26 tekens waaraan niemand kan zien wie je bent. Al je gegevens staan in een kluis op je toestel, in de opslag van de app of je browser.

Je kaarten kunnen gevoelige informatie bevatten, bijvoorbeeld over je seksleven. Die informatie verlaat je telefoon niet, behalve in een back-up die je zelf maakt en die versleuteld is met een wachtwoord dat alleen jij kent.

3. Wat de relay ziet en bewaart

Telefoons kunnen elkaar niet altijd direct bereiken. Daarom is er een kleine server, de relay, die verzegelde enveloppen tussen telefoons doorgeeft.

Wat de relay verwerkt

• Je ID en je publieke sleutels. Bij het verbinden bewijst je telefoon met een handtekening dat de ID bij jou hoort.
• Je IP-adres, zoals bij elke internetverbinding, ook bij het opzetten van een directe verbinding (het STUN-verzoek uit hoofdstuk 4).
• Wanneer je verbonden bent en of de app open is.
• Naar welke ID je een envelop stuurt en hoe groot die is.
• De inhoud van de envelop, maar die is end-to-end versleuteld. De relay kan hem niet openen.

Wat de relay bewaart

• In principe niets op schijf. Alles staat in het werkgeheugen en is weg zodra de relay opnieuw start. De enige uitzondering zijn meldingen (hoofdstuk 6).
• Postvak: is de ontvanger offline en mag een bericht wachten (een tekstbericht, een vriendverzoek, een groepsupdate), dan blijft de versleutelde envelop maximaal 24 uur in het geheugen, hooguit 300 berichten en 4 MB per ontvanger. Na aflevering wordt hij direct gewist. Van een gedeelde locatie bewaart het postvak alleen de nieuwste.
• Online-status: de relay vertelt alleen of je online bent aan iemand die jij hebt toegevoegd en die jou ook heeft toegevoegd, en alleen als jullie elkaar niet hebben geblokkeerd.
• Logboeken: alleen aantallen, zoals hoeveel verbindingen er open staan. Nooit ID's, IP-adressen of inhoud.

We gebruiken deze gegevens alleen om berichten af te leveren en de relay tegen overbelasting te beschermen. Grondslag: ons gerechtvaardigd belang en de overeenkomst met jou om de app te laten werken.

4. Chat, groepen, spelkamers en de Avondcamera

Chat en snaps

Chatberichten en snaps gaan waar het kan via een directe verbinding tussen jullie telefoons (WebRTC), end-to-end versleuteld. Wat jullie allebei hebben gezien, verdwijnt als je de chat sluit. Een snap kun je één keer bekijken.

• Om een directe verbinding op te zetten, vraagt je telefoon aan onze eigen relay wat zijn publieke adres is (een STUN-verzoek). Daar komt geen andere partij aan te pas, en verder gaat er niets van je telefoon dan de versleutelde verbinding met je vriend.
• Bij een directe verbinding zien jullie telefoons elkaars IP-adres. Zo werkt peer-to-peer. Chat daarom alleen met mensen die je vertrouwt.

Groepen

Een groep staat op de telefoons van de leden zelf: de groepschat, de challenges en de ranglijst. Elke wijziging is ondertekend door wie hem maakt en gaat versleuteld naar alle andere leden, via de relay. Ook leden die jij zelf niet als vriend hebt, krijgen je naam, kleur en wat je in die groep doet.

Spelkamers

Een spelkamer is een tijdelijke kamer voor een spel. Hij bestaat alleen in het geheugen van de telefoon van wie hem maakt; er wordt niets opgeslagen. Medespelers zien elkaar alleen als naam en kleur. Geheime informatie in een spel, zoals een woord of een rol, gaat alleen naar de speler voor wie hij bedoeld is. Een eigen quiz blijft op de telefoon van de maker. De kamer stopt als de maker hem beëindigt, langer dan 2 minuten weg is, of na 3 uur.

Avondcamera

Met de Avondcamera maken groepsleden een avond lang foto’s. Ze staan op de telefoon van wie ze maakt en worden pas na het ontwikkelen gedeeld, rechtstreeks tussen de telefoons van de groep, end-to-end versleuteld. Lukt een directe verbinding niet, dan geeft de relay de versleutelde stukjes live door, zonder ze op te slaan of in het postvak te zetten. Foto’s bevatten geen locatie of andere metadata en gaan niet mee in back-ups. Je kunt je eigen foto’s bij iedereen laten verwijderen.

Let op: screenshots kunnen we niet tegenhouden. Stuur en deel alleen wat je ook zou laten zien, en vraag het voordat je iemand op de foto zet.

5. Radar en Vriendenradar

Iedereen in de buurt

Deze radar staat uit tot je hem zelf aanzet, steeds met een timer van 15 minuten tot 2 uur. Daarna gaat hij vanzelf uit.

• Je telefoon rekent je locatie om naar een vakje: Dichtbij (ongeveer 50 meter) of Buurt (ongeveer 1 km). Alleen dat vakje gaat naar de relay, en alleen terwijl de app open is. Je precieze locatie verlaat je telefoon niet.
• Sluit je de app, dan blijf je tot het einde van de timer zichtbaar op het laatste vakje. Je wordt nooit op de achtergrond gevolgd.
• Anderen in de buurt zien je naam, trainer-level, kleur en de rariteit van je zeldzaamste kaart, met een tijdelijke, willekeurige code. Je echte ID blijft verborgen tot jullie allebei zwaaien; dan wisselt de relay jullie ID en publieke sleutels uit, zodat jullie vrienden worden.
• Zijn er minder dan drie anderen in de buurt, dan ziet niemand iemand. Wie je hebt geblokkeerd, zie je niet en ziet jou niet.
• De relay vergeet je zodra de timer afloopt of je de radar uitzet.

Vriendenradar

Met de Vriendenradar deel je je plek met vrienden of een groep die jij kiest.

• Per persoon kies je Precies (ongeveer 10 meter) of Ongeveer (ongeveer 1 km), en hoe lang: van een uur tot twee weken, tot een datum, tot het einde van de groep, of ‘altijd’ met een wekelijkse herinnering.
• Starten, iemand toevoegen, Precies kiezen en lang delen vraagt je pincode, Face ID of vingerafdruk.
• Je locatie wordt alleen verstuurd terwijl de app open is, per persoon end-to-end versleuteld. De relay kan hem niet lezen en bewaart hooguit de nieuwste nog niet afgeleverde. Niemand houdt een geschiedenis bij.
• Onder ‘Wie ziet mij?’ zie je altijd met wie je deelt. ‘Verberg mij nu’ stopt alles met één tik; de anderen zien dan alleen dat je niet meer deelt.
• De instellingen staan alleen op je telefoon en gaan niet mee in een back-up, zodat delen nooit vanzelf weer begint.

Grondslag voor beide radars: jouw toestemming, die je geeft door ze aan te zetten en intrekt door ze uit te zetten. Lees ook de radar verstandig gebruiken.

6. Meldingen

Meldingen staan uit tot je ze zelf aanzet. Een melding zegt alleen dat er iets op je wacht (een bericht, een zwaai, een match, de radar is uit), nooit wat of van wie. De relay weet dat zelf ook niet.

• Zet je meldingen aan, dan bewaart de relay je ID, het meldingsadres van je telefoon, twee sleutels van je browser, wanneer je dat laatst ververste en eventueel een herinneringstijd. Niets anders. Om meldingen na een herstart te laten werken, kan dit in een bestand op de server staan.
• Zet je meldingen uit, of ververst je telefoon ze 30 dagen niet, dan wordt dit gewist.
• De melding gaat via de dienst van je telefoon: Apple, Google of Mozilla. Zij zien alleen dat er een versleutelde melding van vaste grootte is verstuurd, niet wat erin staat.
• Op iPhone werken meldingen alleen als Hoekedex op je beginscherm staat (iOS 16.4 of nieuwer).

Grondslag: jouw toestemming.

Nieuws en specials. Zet je deze melding aan (standaard staat hij uit), dan bewaart de relay één vlag bij je pushabonnement, zodat hij je een paar keer per jaar kan laten weten dat er een Feestdag-special begint. Zet je hem uit, dan verdwijnt die vlag.

Feestdag-specials. Om een special te ontgrendelen vraagt de app de relay om de datum, met een verzoek dat met je Hoekedex-ID is ondertekend. De relay stuurt een ondertekend bewijs terug en bewaart verder niets.

7. Wat jij in de hand hebt

• App-slot: zet je een pincode op de app, dan wordt je kluis versleuteld (AES-GCM, met een sleutel uit je pincode via PBKDF2 met 600.000 rondes). De app gaat standaard na 5 minuten op de achtergrond weer op slot.
• Face ID of vingerafdruk: bovenop de pincode kun je de app openen met Face ID, Touch ID of je vingerafdruk. Dat werkt met een passkey op je telefoon; de sleutels blijven op je telefoon en er gaat niets naar ons of de relay. Let op: wie langs de beveiliging van je telefoon komt, ook met de toegangscode, kan de app dan openen.
• Back-up: een .hoekedex-bestand, versleuteld met een apart back-upwachtwoord. Jij kiest waar het staat, bijvoorbeeld in iCloud Drive, Google Drive of Bestanden. Die diensten zien alleen een versleuteld bestand. Ben je het wachtwoord kwijt, dan kan niemand de back-up nog openen, wij ook niet.
• Blokkeren: je telefoon gooit alles weg wat die persoon stuurt, en de relay geeft niets meer door, deelt je online-status niet meer en toont jullie niet aan elkaar op de radar.
• Alles wissen: met ‘Alles wissen’ in de app, door de app te verwijderen, of door in je browser de websitegegevens van de app te wissen. Vrienden en groepsleden houden wat je al met ze deelde tot ze het zelf verwijderen; je eigen Avondcamera-foto’s kun je eerst overal laten weghalen.

8. Spellen, drank en Extreem

Spellen hebben niveaus van Onschuldig tot Heet. Extreem staat uit tot een volwassene het zelf aanzet in Instellingen, en iedereen die meespeelt bevestigt eerst. De Drankmodus en de gekozen niveaus zijn instellingen op je telefoon; we verwerken er niets over. Spelinhoud, zoals vragen en opdrachten, zit in de app zelf; het Koppelpakket wordt als versleuteld pakket meegeleverd en op je telefoon geopend.

9. Aankopen

Betaalde extra's (thema's, Hoekedex Pro, het Koppelpakket en de Zomerpas) komen later. Tot die tijd koop je niets in Hoekedex en geldt dit hoofdstuk nog niet.

• App Store en Google Play: Apple en Google regelen de betaling volgens hun eigen privacyvoorwaarden. De app krijgt alleen te horen welk product je hebt gekocht en slaat dat op je telefoon op. Wij krijgen van hen geen gegevens uit je Hoekedex en geen betaalgegevens.
• Licentiecodes: een code wordt op je telefoon gecontroleerd met een digitale handtekening. De app meldt daarbij niets terug. Bij het kopen van een code worden je e-mailadres (om de code te sturen) en je betaalgegevens verwerkt door de betaalpartij. Wij bewaren alleen wat we voor de boekhouding wettelijk moeten bewaren.

10. Deze website en de downloads

Deze website gebruikt geen cookies, geen analytics, geen trackers en geen lettertypes of scripts van andere partijen. Hij onthoudt alleen in je eigen browser of je de taalhint hebt weggeklikt. De site wordt geleverd via Cloudflare. Zoals elke hostingpartij verwerkt Cloudflare technische gegevens, zoals je IP-adres, om de pagina's en de app-download af te leveren en aanvallen tegen te houden. Wij zetten daar geen bezoekersstatistieken bij aan.

11. Gegevens over anderen

Op je kaarten zet je informatie over andere mensen. Zolang die alleen op je eigen telefoon staat en je hem voor jezelf gebruikt, is dat persoonlijk gebruik. De AVG is daar in de regel niet op van toepassing (de uitzondering voor huishoudelijk gebruik). Wij krijgen deze gegevens nooit.

Deel je informatie of foto's van iemand anders, bijvoorbeeld met een screenshot of in de Avondcamera, dan ben jij daarvoor verantwoordelijk. Doe dat alleen met toestemming. Lees ook de richtlijnen.

12. Hoe lang iets bewaard blijft

13. Je rechten

Je hebt onder de AVG recht op inzage, correctie, verwijdering, beperking, bezwaar en overdracht van je gegevens. Omdat wij geen accounts en geen database hebben, staan bijna al je gegevens op je eigen telefoon. Daar kun je ze zelf inzien, aanpassen en wissen. Wat de relay heel even in het geheugen heeft, kunnen wij niet aan jou koppelen.

Voor vragen of verzoeken mail je naar info@hoekedex.net. We reageren binnen een maand. Ben je het niet met ons eens, dan kun je een klacht indienen bij de toezichthouder in je land; in Nederland is dat de Autoriteit Persoonsgegevens.

Hoekedex is alleen voor mensen van 18 jaar en ouder.

14. Beveiliging

• Sleutels: ECDSA P-256 om te ondertekenen en ECDH P-256 om sleutels af te spreken, gemaakt op je eigen telefoon.
• Berichten, locaties en foto’s tussen telefoons: AES-256-GCM met een sleutel die alleen de twee telefoons hebben (afgeleid met HKDF-SHA256).
• Groepen: elke gebeurtenis wordt ondertekend door wie hem maakt, en elke telefoon controleert die handtekening.
• Avondcamera: elke foto wordt gecontroleerd tegen de vingerafdruk (SHA-256) uit het ondertekende bericht van de fotograaf.
• Controlecode: vergelijk in het echt de code van 24 cijfers om zeker te weten dat je met de juiste persoon praat.
• De verbinding met de relay loopt via een versleutelde verbinding (TLS).

Geen enkel systeem is waterdicht. Vind je een beveiligingsprobleem, meld het dan via info@hoekedex.net.

15. Wijzigingen en contact

Verandert er iets aan hoe Hoekedex met gegevens omgaat, dan passen we deze verklaring aan en zetten we de datum bovenaan op de nieuwe versie. Grote veranderingen laten we ook in de app zien.

Contact: info@hoekedex.net.