Waarom de gegevens van je baby in de EU blijven

Tegen de tijd dat je baby een maand oud is, kan een app al enkele honderden notities bewaren over iemand van vier weken: wat erin ging, wat eruit kwam, hoe lang je baby sliep, wat de temperatuur was om 2 uur ’s nachts. Het is een van de meest gedetailleerde dossiers die iemand ooit over je kind zal bijhouden, en het had er zelf niets over te zeggen.

Daar denk ik meer over na dan over welk ander onderdeel van het bouwen van Bunavi ook. Dus hier is het hele plaatje — wat er in dat dossier staat, waar ik het bewaar, wat ik er nooit mee zal doen, en waar de belofte grenzen heeft.

Wat er echt in dat dossier staat

Het is makkelijk om je bij een baby-app een lijstje met voedingstijden voor te stellen. Dat is het niet. Leg een paar weken notities naast elkaar en je hebt:

De naam van je kind — of het koosnaampje dat je gebruikt — de geboortedatum, soms het geslacht, soms een foto.
Gezondheidsgegevens: groeimetingen, temperaturen, symptomen, medicijnen, vaccinaties.
Voedings- en slaappatronen, die meteen ook laten zien wanneer de volwassenen in huis wakker zijn en hoe lang ze al op zijn.
Luierdetails die de meeste mensen alleen bij de kinderarts bespreken.

Het stuk van die lijst met temperaturen en medicijnen is gegevens over gezondheid, en artikel 9 van de AVG (de Europese privacyverordening, in het Engels GDPR) plaatst die in de bijzondere categorieën die de verordening het strengst beschermt. Overweging 38 van diezelfde verordening zegt dat kinderen “specifieke bescherming verdienen met betrekking tot hun persoonsgegevens”, en noemt marketing en profilering als de risico’s die ertoe doen. De wet is het eens met iets wat de meeste ouders voelen zodra ze voor het eerst de naam van hun kind in een formulier typen.

Je kind wordt ooit volwassen, en niets hiervan heeft het zelf gekozen.

Waarom de servers in Frankfurt staan

Het profiel van je baby en alles wat eraan hangt staan in een database binnen de Europese Unie, gehost door Supabase in de regio die Amazon Europa (Frankfurt) noemt — eu-central-1. Dat is geen versiering op een marketingpagina. Daar volgen drie praktische dingen uit.

De AVG geldt, niet als gunst. Ik ben een zelfstandige ontwikkelaar gevestigd in Bulgarije, en artikel 3 laat de verordening gelden voor verwerking in het kader van de activiteiten van een vestiging in de Unie. Het is geen beleid dat ik in een volgende update stilletjes kan afzwakken.
Je rechten zijn afdwingbaar. Artikel 20 geeft je een kopie van je gegevens in een gestructureerd, gangbaar en machineleesbaar formaat. Artikel 17 geeft je het recht op wissen. En als ik je ooit teleurstel, geeft artikel 77 je het recht om te klagen bij een toezichthoudende autoriteit — in mijn geval de Bulgaarse Commissie voor de Bescherming van Persoonsgegevens, of de autoriteit in je eigen land.
Aan de andere kant zit een persoon met een naam. De verwerkingsverantwoordelijke ben ik, bij naam, met een land en een werkend e-mailadres in het privacybeleid. Een klacht kan ergens terechtkomen.

En nu het eerlijke deel: de plek van de hosting is geen schild. Een slordig beheerde server in Frankfurt beschermt je gezin minder dan een goed beheerde server waar dan ook. Geografie bepaalt alleen welke regels tegen mij afgedwongen kunnen worden. Wat het dossier van je kind echt beschermt, is wat de software elke dag doet.

Waar ik me aan heb verbonden

Het verkeer tussen je telefoon en de server is versleuteld met TLS.
De toegang wordt rij voor rij in de database afgedwongen, zodat een account alleen gegevens kan lezen of schrijven voor de baby’s die erbij horen of waarvoor het is uitgenodigd. De rijen van het ene gezin zijn niet bereikbaar vanuit het account van een ander gezin, en die regel zit in de database zelf, niet in de schermen van de app.
Geen advertenties. Geen advertentie-ID’s. Niets verkocht, verhuurd of gedeeld met adverteerders. Geen advertentie- of volgprofiel van jou of je kind.
Delen staat uit tot je het aanzet. Een uitnodigingscode is eenmalig, verloopt na 7 dagen, en je kunt toegang meteen intrekken in de instellingen — handig om te weten voordat je je partner of een grootouder de code geeft.
De app werkt offline-first, dus hij bewaart een kleine kopie van recente notities op je eigen toestel om het om 3 uur ’s nachts zonder bereik te redden. Die kopie wordt gewist zodra je uitlogt.
Je gegevens eruit halen en je gegevens laten verwijderen zijn allebei knoppen in de instellingen, geen verzoeken die je mij moet sturen.

Dat punt van “standaard uit” zou ik het hardst verdedigen. Artikel 25 van de AVG vraagt om gegevensbescherming door standaardinstellingen — persoonsgegevens mogen niet zonder jouw eigen tussenkomst toegankelijk worden voor een onbepaald aantal mensen. Bij het gezondheidsdossier van een kind is een standaardinstelling die lekt geen klein ontwerpfoutje.

Waar het plaatje niet puur Europees is

Een app van één persoon leunt toch op andere bedrijven, en doen alsof dat niet zo is, is precies het soort claim dat je moet wantrouwen. Apple factureert de abonnementen en ik zie je kaart nooit. RevenueCat, in de VS, beheert wat je abonnement ontgrendelt en krijgt een account-identificatie plus aankoopgebeurtenissen. Resend bezorgt e-mail — een wachtwoordherstel, een bon — en krijgt je adres en het bericht; het is een Amerikaans bedrijf, al draait de verzendinfrastructuur in Ierland. Sentry ontvangt technische crashgegevens — model van het toestel, versie van het besturingssysteem, stacktrace — uit builds waarin crashrapportage aanstaat. Waar persoonsgegevens buiten de EU worden verwerkt, valt dat onder de standaardcontractbepalingen van de Europese Commissie, en elk van die bedrijven staat met naam in het privacybeleid.

Wat geen van hen krijgt, is het dossier van je baby. De voedingen, de dutjes, de groeimetingen, de temperaturen, de naam en de geboortedatum blijven in de EU-database.

De echte test is verwijderen

Elke app kan een warme alinea over privacy schrijven. Die belofte betekent pas iets als weggaan ook echt werkt — en als er drie e-mails en een supportwachtrij nodig zijn om het gezondheidsdossier van een kind te wissen, was de belofte versiering.

Dus: Instellingen → Account verwijderen wist je account meteen, samen met elke baby van jou waarvoor niemand anders is uitgenodigd, en al hun gegevens. Doe je het liever niet in de app, mail dan [email protected] vanaf het adres van je account; dan is alles binnen 30 dagen gewist, meestal veel eerder. Dat is het recht op wissen uit artikel 17, aan een knop gehangen in plaats van aan een formulier.

Exporteer voordat je verwijdert

Eén ding om vooraf te weten: een baby van jou waar nog een andere verzorger aan hangt, gaat niet met jou mee. Die wordt overgedragen aan de verzorger die er het langst bij zit, zodat een mede-ouder of een grootouder de geschiedenis houdt waar ze op bouwen, en de notities die jij schreef blijven bij het dossier, zonder jouw naam erbij. Een baby waarvoor niemand anders is uitgenodigd, verdwijnt als jouw account verdwijnt. Hoe dan ook stopt je eigen toegang op het moment dat je verwijdert — dus wil je de geschiedenis voor jezelf, of vroeg je kinderarts om een kopie, exporteer dan eerst en verwijder daarna.

Waar je elke baby-app aan mag houden

Je hoeft me hierin niet op mijn woord te geloven, en dat zou je ook niet moeten doen. Vier controles, elk ongeveer een minuut werk, vertellen je meer over een app dan de landingspagina ooit doet.

Wat je vraagt	Waar je het zelf kunt controleren
Wie is juridisch verantwoordelijk voor deze gegevens?	Het privacybeleid. Daar hoort een verwerkingsverantwoordelijke te staan — een echt bedrijf of een echt persoon, met een land en een contactadres.
Wordt er iets van gebruikt om mij te volgen?	De pagina in de App Store. Apple verplicht elke app te verklaren wat die app en zijn externe partners verzamelen, en of iets daarvan wordt gebruikt om jou te volgen — dus gekoppeld aan gegevens uit apps en sites van andere bedrijven voor gerichte advertenties of advertentiemeting, of doorgegeven aan een datahandelaar.
Hoe krijg ik alles eruit, en alles verwijderd?	Zoek allebei de routes voordat je je aanmeldt, niet erna. In de app is beter dan een supportticket.
Staat delen uit tot ik het aanzet?	Het uitnodigen zelf. Let op eenmalige codes die verlopen, en een manier om iemand te verwijderen die meteen werkt.

Dat is de lat die ik bij mezelf gelegd wil zien, en die ik leg bij ieder ander die het eerste jaar van je baby wil bewaren. Je houdt dit dossier bij namens iemand die er zelf nog niets over kan zeggen — het minste wat de software kan doen, is het zo behandelen. Wil je de langere versie van hoe ik werk, die staat in het privacybeleid en op de pagina ‘Over’, allebei geschreven om gelezen te worden, niet om doorstaan te worden.

Wat ouders vaak vragen

Waar worden de gegevens van mijn baby bewaard?

In de Europese Unie — een Supabase-database in Amazons regio Europa (Frankfurt), eu-central-1. Het verkeer is versleuteld met TLS, de gegevens staan versleuteld opgeslagen, en de toegang wordt rij voor rij afgedwongen, zodat de gegevens van het ene gezin onbereikbaar zijn vanuit het account van een ander gezin.

Kan ik echt alles zelf verwijderen?

Ja. Instellingen, dan Account verwijderen, wist meteen je account, elk babyprofiel dat van jou is en al hun gegevens. Je kunt ook mailen naar [email protected] vanaf het adres van je account. Kopieën in versleutelde back-ups verdwijnen met de normale rotatie, binnen 30 dagen.

Betekent hosting in de EU dat er nooit iets de EU verlaat?

Nee, en het tegendeel beweren zou misleidend zijn. Apple factureert de abonnementen, RevenueCat beheert wat je abonnement ontgrendelt, Resend bezorgt e-mail en Sentry ontvangt crashgegevens. Die diensten krijgen identificatiegegevens, e-mailadressen of technische gegevens onder standaardcontractbepalingen — nooit de voedingen, slaap, groei of gezondheidsgegevens van je baby.

Worden er gegevens van mijn gezin gebruikt voor advertenties?

Nee. Er zijn geen advertenties en geen advertentie-ID’s, en er wordt niets verkocht, verhuurd of gedeeld met adverteerders. Er komt geen advertentie- of volgprofiel van jou of je kind, en wat je invoert wordt nooit gebruikt om AI-modellen te trainen.